Няўдалая атрыбуцыя не даказвае, што нападальнік быў ананімным
Справа без названага злачынцы паказвае, што маглі ўстанавіць доказы, а не тое, што ананімнасць спрацавала. Аддзяляйце рэкамендацыі, укараненне і няўдалую атрыбуцыю.
Справу, якая заканчваецца без названага злачынцы, звычайна апісваюць як ананімную, і гэтае слова робіць шмат ціхай працы. Яно ператварае сцверджанне пра доказы ў сцверджанне пра свет. Гэта не адно і тое ж, і для старых інцыдэнтаў розніца часта з'яўляецца адзіным, што можа падтрымаць запіс, які захаваўся. Інцыдэнт без атрыбуцыі кажа вам, што можна было ўстанавіць, а не што было магчыма.
Пяць праверак раздзяляюць гэтыя дзве рэчы.
Праверка 1: аддзяліце рэкамендацыі ад іх укаранення
RFC 1281, апублікаваны ў лістападзе 1991 года, рэкамендаваў захоўваць і правяраць запісы, якія датычацца бяспекі, падтрымліваць адсочванне злучэнняў і прызначаць кантакт па бяспецы для апрацоўкі інцыдэнтаў. Ён таксама прасіў аператараў публікаваць, што яны збіраюць і хто гэта можа выкарыстоўваць. Гэта датаваны запіс пра тое, што было рэкамендавана, што з'яўляецца іншым сцверджаннем, чым тое, што рабіла якая-небудзь канкрэтная сетка.
Рэкамендацыя — гэта доказ таго, што занепакоенасць існавала. Гэта не доказ укаранення і тым больш не доказ таго, што канкрэтнае расследаванне дасягнула поспеху.
Праверка 2: назваць, якое звяно ў атрыбуцыі зламалася
Атрыбуцыя — гэта ланцужок, і кожнае звяно адмаўляе па-свойму: назіранне ў сетцы, уліковы запіс, злучаны з ім, кантроль над гэтым уліковым запісам у той час і доказы, якія звязваюць гэты кантроль з чалавекам. Прамежкавы адрас — гэта не месцазнаходжанне. Імя карыстальніка — не доказ таго, хто друкаваў на клавіятуры. Зарэгістраваная сесія — не доказ таго, што ўладальнік уліковага запісу прысутнічаў.
Запішыце, якое звяно адсутнічае, перш чым запісваць выснову.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Праверка 3: датуйце доказы, на якія вы спасылаецеся
Старыя справаздачы дрэнна сціскаюць час. Запісы, якія ніколі не вяліся, запісы, якія страцілі сілу паводле палітыкі захавання, запісы, якія існавалі, але ніколі не супастаўляліся паміж арганізацыямі, і расследаванні, якія проста не праводзіліся, пакідаюць адзін і той жа след у сучасным зводзе: нічога. Толькі першае — гэта сцверджанне пра тэхнічныя магчымасці.
Аддавайце перавагу першасным дакументам з датамі перад зводамі, якія ўзгадваюцца, і цытуйце сказ, на які вы абапіраецеся.
Праверка 4: супраціўляйцеся ператварэнню гісторыі ў каталог тэхнік
Гістарычнае пытанне — што можна было назіраць і што з гэтага можна было ўстанавіць. Спіс адкрытых сэрвісаў і стандартных уліковых даных адказвае на іншае пытанне, і гэта няправільны тып адказу для чытача, які спрабуе зразумець атрыбуцыю. Гэта таксама непатрэбна, бо аргумент трымаецца і без аперацыйных дэталяў.
Калі прыклад патрабуе рэцэпту, каб быць цікавым, значыць, прыклад робіць не тую працу.
Праверка 5: сфармулюйце больш вузкую выснову, якую вы можаце абараніць
Абараняльная выснова гучыць так: запіс, які захаваўся, паказвае, што рэкамендацыі існавалі, што некаторыя аператары збіралі журналы аўтэнтыфікацыі і што канкрэтная справа не дала доказаў, дастатковых для ідэнтыфікацыі чалавека. Гэта вузей за думку, што ніхто не назіраў, і карысней, бо гэта можна праверыць. Адзначце таксама, што магло б змяніць вынік, бо адсутнасць суаднясення — гэта іншая няўдача, чым адсутнасць даных. Затым спыніцеся.
Шырокія сцверджанні пра цэлае дзесяцігоддзе патрабуюць запісаў з таго дзесяцігоддзя, а не праўдападобнай гісторыі пра тое, як усё было раней.