Crush — Format Referenz

Android Intrusion Log (Advanced Protection)

Forensische Relevanz

Sicherheitsereignis-Log von Intrusion Logging unter Android, einem optionalen Teil von Advanced Protection Mode (ab Android 16, verknüpftes Google-Konto erforderlich; beim Start im Mai 2026 nur auf Pixel-Geräten). Zeilengetrenntes JSON ohne Signatur, ein Ereignis pro Zeile, verpackt unter seinem Typ: dns_event, connect_event (beide mit dem anfragenden Paket) und security_event (Ereignisse der SecurityLog-API wie App-Starts, Paketinstallationen, ADB-Befehle und Dateiübertragungen, Sperr- und Entsperrversuche). event_time ist bei DNS- und Connect-Ereignissen in Millisekunden angegeben, bei Sicherheitsereignissen in Nanosekunden; event_id ist nicht eindeutig. Logs werden etwa täglich gesammelt, Ende-zu-Ende-verschlüsselt und 12 Monate im Google-Konto aufbewahrt. 'Download and decrypt' schreibt sie nach /sdcard/Download/Intrusion Logging/, wo frühere Downloads erhalten bleiben. Logs jedes Geräts im Konto können auf einem anderen heruntergeladen werden, auf einem Gerät gefundene Dateien können also zu einem anderen Gerät gehören. Fehlende Ereignisse beweisen keine Abwesenheit: Das Logging deckt nur die Zeit ab, in der es aktiviert war, schreibt bei hoher Aktivität eventuell weniger Ereignisse und erfasst keine DNS-Abfragen über einen eigenen Resolver einer App (z. B. Secure DNS von Chrome). Sich überschneidende Downloads können Ereignisse doppelt enthalten. Private Browsermodi werden ebenfalls geloggt.

Signaturen

Nicht erfasst

Bekannte Dateiendungen

.txt

Referenzen

• Log your Android device activity with Advanced Protection (Android Help) https://support.google.com/android/answer/16927813
• Android Intrusion Logging as a new source of data for consensual forensic analysis (Amnesty International Security Lab, 2026) https://securitylab.amnesty.org/latest/2026/05/android-intrusion-logging-as-a-new-source-of-data-for-consensual-forensic-analysis/
• SecurityLog API reference (Android developers) https://developer.android.com/reference/android/app/admin/SecurityLog
• NetworkEvent API reference — timestamp in milliseconds (Android developers) https://developer.android.com/reference/android/app/admin/NetworkEvent
• SecurityLog.java — event tags (Android Open Source Project) https://cs.android.com/android/platform/superproject/main/+/main:frameworks/base/core/java/android/app/admin/SecurityLog.java
• Advanced Protection Mode (Android developers) https://developer.android.com/privacy-and-security/advanced-protection-mode
• Check Android Intrusion Logs (Mobile Verification Toolkit documentation) https://github.com/mvt-project/mvt/blob/main/docs/android/intrusion_logs.md

Diesen Eintrag zitieren

Crush-Format-Referenz, „Android Intrusion Log (Advanced Protection)“. https://kalink0.github.io/crush-forensics/formats/de/intrusion-log/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.

Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden