Toeskrywing wat misluk bewys nie dat die aanvaller anoniem was nie
’n Saak sonder ’n genoemde oortreder wys wat die bewyse kon vasstel, nie dat anonimiteit gewerk het nie. Skei leiding, toepassing en mislukte toeskrywing.
’n Saak wat sonder ’n genoemde oortreder eindig, word gewoonlik as anoniem beskryf, en daardie woord doen baie stille werk. Dit verander ’n stelling oor bewyse in ’n stelling oor die wêreld. Die twee is nie dieselfde nie, en by ouer voorvalle is die verskil dikwels die enigste ding wat die oorblywende rekord kan ondersteun. ’n Voorval waaraan niemand toegeskryf word nie, vertel jou wat vasgestel kon word, nie wat moontlik was nie.
Vyf kontroles hou dié twee uitmekaar.
Kontrole 1: skei die leiding van die toepassing daarvan
RFC 1281, gepubliseer in November 1991, het aanbeveel om veiligheidsrelevante rekords te hou en te ouditeer, verbindingopsporing te ondersteun en ’n veiligheidskontak vir voorvalhantering te benoem. Dit het ook van operateurs gevra om te publiseer wat hulle insamel en wie dit kon gebruik. Dit is ’n gedateerde rekord van wat aanbeveel is, wat ’n ander bewering is as wat enige spesifieke netwerk gedoen het.
’n Aanbeveling is bewyse dat die bekommernis bestaan het. Dit is nie bewyse van implementering nie, en dit is beslis nie bewyse dat ’n spesifieke ondersoek geslaag het nie.
Kontrole 2: noem watter skakel in toeskrywing gebreek het
Toeskrywing is ’n ketting, en elke skakel faal op sy eie manier: ’n netwerkwaarneming, die rekening wat daarmee geassosieer word, beheer oor daardie rekening op die tydstip, en die bewyse wat daardie beheer aan ’n persoon verbind. ’n Tussenliggende adres is nie ’n ligging nie. ’n Gebruikersnaam is nie bewys van wie aan die sleutelbord getik het nie. ’n Aangemelde sessie is nie bewys dat die rekeningeienaar teenwoordig was nie.
Skryf neer watter skakel ontbreek voordat jy ’n gevolgtrekking neerskryf.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrole 3: dateer die bewyse wat jy aanhaal
Ou verslae komprimeer tyd sleg. Rekords wat nooit gehou is nie, rekords wat onder ’n bewaarbeleid verval het, rekords wat bestaan het maar nooit tussen organisasies gekorreleer is nie, en ondersoeke wat bloot nie voortgesit is nie, laat almal dieselfde spoor in ’n moderne opsomming: niks. Net die eerste is ’n stelling oor tegniese vermoë.
Verkies primêre dokumente met datums bo onthoude opsommings, en haal die sin aan waarop jy staatmaak.
Kontrole 4: weerstaan die drang om geskiedenis in ’n tegniekkatalogus te verander
Die historiese vraag is wat waarneembaar was en wat daaruit vasgestel kon word. ’n Lys van blootgestelde dienste en verstekbewyse beantwoord ’n ander vraag, en dit is die verkeerde soort antwoord vir ’n leser wat toeskrywing probeer verstaan. Dit is ook onnodig, want die argument oorleef sonder operasionele besonderhede.
As ’n voorbeeld ’n resep nodig het om interessant te wees, doen die voorbeeld die verkeerde werk.
Kontrole 5: noem die smaller bevinding wat jy kan verdedig
’n Verdedigbare bevinding lees so: die oorblywende rekord wys dat leiding bestaan het, dat sommige operateurs verifikasielogs ingesamel het, en dat die spesifieke saak geen bewyse opgelewer het wat voldoende was om ’n persoon te identifiseer nie. Dit is smaller as dat niemand gekyk het nie, en dit is nuttiger omdat dit nagegaan kan word. Let ook op wat die uitkoms sou verander het, want ontbrekende korrelasie is ’n ander mislukking as ontbrekende data. Stop dan.
Breë bewerings oor ’n hele dekade het rekords uit daardie dekade nodig, nie ’n geloofwaardige verhaal oor hoe dinge vroeër was nie.