移动端安全新阵地：入侵日志功能上线
近期，Google在Android高级保护模式（AAPM）中引入了一项关键功能——入侵日志（Intrusion Logging）。这一举措不仅是对移动端安全防护体系的补强，更是为了解决长期以来针对高危人群（如记者、活动人士等）的定向间谍软件攻击溯源难的问题。
从我们的应急响应经验来看，移动端间谍软件往往具有极强的隐蔽性，攻击者利用零日漏洞或恶意应用植入后，会迅速清理痕迹。过去，安全研究人员在进行取证分析时，往往只能依赖碎片化的系统日志，这些日志并非为安全分析设计，不仅存留时间短，且极易被恶意软件篡改或绕过。
深度解析：入侵日志如何赋能溯源
此次Google与国际特赦组织安全实验室等机构合作开发的入侵日志功能，其核心价值在于“系统级可见性”。该功能通过记录设备及网络层面的关键活动，为后续的 forensic 调查提供了可靠的一手数据。
该工具主要记录以下几类高价值信息： 一是安全事件，如设备解锁、物理访问记录及异常交互行为； 二是软件生命周期，包括间谍软件的安装与卸载记录； 三是网络痕迹，涵盖DNS查询及网络连接事件。
从Solar团队的视角来看，这一环节是很多企业容易忽视的。在针对性攻击中，攻击者往往通过钓鱼链接或恶意APP获取权限，而入侵日志通过每日自动采集并加密存档，确保了证据链的完整性。最关键的设计在于，这些日志由用户生成的密钥加密，即便是Google也无法窥探，这在保护隐私的同时，确保了证据仅在用户授权下才能被专业分析师获取。
配合防护策略，构建纵深防御体系
除了入侵日志，Google此次还对高级保护模式进行了多项升级，包括拦截锁屏状态下的USB数据连接、限制辅助功能服务的滥用、移除WebGPU支持以减少浏览器攻击面等。
类似攻击近年来明显增加，特别是针对特定目标的定向攻击，往往结合了物理接触与远程漏洞利用。这些升级措施有效地收窄了攻击面，特别是对辅助功能权限的严格限制，精准打击了目前市面上许多试图通过“无障碍服务”进行屏幕截取和按键记录的恶意软件。
Solar应急响应专家建议
针对此类移动端威胁，我们建议企业和个人用户采取以下预防措施：
首先，对于处理敏感数据的企业高管或特定人员，务必开启设备的高级保护模式，并确保系统版本及时更新。 其次，在怀疑设备被入侵时，切勿盲目进行重置操作，这会销毁宝贵的取证数据。应第一时间联系专业的安全服务团队，利用类似AndroidQF或MVT等工具进行初步排查。 最后，移动端安全不仅是工具的对抗，更是意识的博弈。对于任何非官方渠道的应用安装请求，应保持高度警惕。
随着移动端威胁的复杂化，掌握更底层的取证手段将成为未来应急响应的关键竞争力。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com