فشل الإسناد لا يثبت أن المهاجم كان مجهولاً
قضية بلا جانٍ معروف تُظهر ما كان يمكن للأدلة إثباته، لا أن إخفاء الهوية نجح. افصل التوجيه عن تبنيه عن فشل الإسناد.
غالباً ما تُوصف القضية التي تنتهي دون تحديد هوية الجاني بأنها مجهولة، وتلك الكلمة تؤدي عملاً خفياً كبيراً. فهي تحوّل عبارة عن الأدلة إلى عبارة عن العالم. والاثنتان ليستا الشيء نفسه، وفي الحوادث الأقدم يكون الفرق غالباً الشيء الوحيد الذي يمكن للسجل الباقي أن يدعمه. الحادث غير المنسوب يخبرك بما كان يمكن إثباته، لا بما كان ممكناً.
خمسة فحوص تفصل بين الأمرين.
الفحص 1: افصل التوجيه عن اعتماده
أوصى RFC 1281، المنشور في نوفمبر 1991، بالاحتفاظ بالسجلات المتعلقة بالأمن ومراجعتها، ودعم تتبع الاتصالات، وتسمية جهة اتصال أمنية للتعامل مع الحوادث. كما طلب من المشغلين نشر ما يجمعونه ومن يمكنه استخدامه. هذا سجل مؤرخ بما تم التوصية به، وهو ادعاء مختلف عمّا فعلته أي شبكة بعينها.
التوصية دليل على أن القلق كان قائماً. وهي ليست دليلاً على التنفيذ، وبالتأكيد ليست دليلاً على نجاح تحقيق معين.
الفحص 2: سمِّ الحلقة التي انكسرت في الإسناد
الإسناد سلسلة، وكل حلقة تفشل بطريقتها: ملاحظة على الشبكة، والحساب المرتبط بها، والسيطرة على ذلك الحساب في ذلك الوقت، والأدلة التي تربط تلك السيطرة بشخص. العنوان الوسيط ليس موقعاً. اسم المستخدم ليس دليلاً على من كتب على لوحة المفاتيح. الجلسة المسجلة ليست دليلاً على أن صاحب الحساب كان حاضراً.
اكتب الحلقة المفقودة قبل أن تكتب الاستنتاج.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
الفحص 3: أرّخ الأدلة التي تستشهد بها
التقارير القديمة تضغط الزمن بشكل سيئ. السجلات التي لم تُحفظ قط، والسجلات التي انتهت بموجب سياسة احتفاظ، والسجلات التي وُجدت لكن لم تُربط بين المؤسسات، والتحقيقات التي لم تُتابع ببساطة، كلها تترك الأثر نفسه في ملخص حديث: لا شيء. الأول وحده هو عبارة عن القدرة التقنية.
فضّل الوثائق الأولية المؤرخة على الملخصات المتذكّرة، واقتبس الجملة التي تعتمد عليها.
الفحص 4: قاوم تحويل التاريخ إلى كتالوج تقنيات
السؤال التاريخي هو ما كان قابلاً للملاحظة وما يمكن إثباته منه. قائمة بالخدمات المكشوفة وبيانات الاعتماد الافتراضية تجيب على سؤال مختلف، وهي نوع خاطئ من الإجابة لقارئ يحاول فهم الإسناد. وهي غير ضرورية أيضاً، لأن الحجة تصمد دون تفاصيل تشغيلية.
إذا احتاج مثال إلى وصفة ليكون مثيراً للاهتمام، فالمثال يقوم بالمهمة الخطأ.
الفحص 5: اذكر النتيجة الأضيق التي يمكنك الدفاع عنها
النتيجة القابلة للدفاع تُقرأ هكذا: يُظهر السجل الباقي أن التوجيه كان موجوداً، وأن بعض المشغلين جمعوا سجلات المصادقة، وأن القضية المحددة لم تنتج أدلة كافية لتحديد هوية شخص. هذا أضيق من القول إن أحداً لم يكن يراقب، وهو أكثر فائدة لأنه قابل للتحقق. لاحظ أيضاً ما كان سيغيّر النتيجة، لأن غياب الارتباط فشل مختلف عن غياب البيانات. ثم توقف.
الادعاءات الواسعة عن عقد كامل تحتاج إلى سجلات من ذلك العقد، لا إلى قصة معقولة عن كيف كانت الأمور.