Неуспешното атрибутиране не доказва, че нападателят е бил анонимен
Случай без установен извършител показва какво са могли да докажат доказателствата, а не че анонимността е проработила. Разделяйте указанията, приемането и неуспеха на атрибутирането.
Случай, който завършва без установен извършител, обикновено се описва като анонимен и тази дума върши много тиха работа. Тя превръща твърдение за доказателствата в твърдение за света. Двете не са едно и също и при по-стари инциденти разликата често е единственото, което оцелелият запис може да подкрепи. Инцидент без атрибуция ви казва какво е могло да бъде установено, а не какво е било възможно.
Пет проверки държат двете отделно.
Проверка 1: отделете указанията от приемането им
RFC 1281, публикуван през ноември 1991 г., препоръчваше съхраняване и одит на записи, свързани със сигурността, подкрепа за проследяване на връзки и определяне на контакт по сигурността за работа с инциденти. Той също призоваваше операторите да публикуват какво събират и кой може да го използва. Това е датиран запис за това какво е било препоръчано, което е различно твърдение от това какво е направила конкретна мрежа.
Препоръката е доказателство, че притеснението е съществувало. Тя не е доказателство за прилагане и със сигурност не е доказателство, че конкретно разследване е успяло.
Проверка 2: назовете коя връзка в атрибутирането се е скъсала
Атрибутирането е верига и всяка връзка се проваля по свой начин: наблюдение в мрежата, свързаният с него акаунт, контролът върху този акаунт по онова време и доказателствата, които свързват този контрол с човек. Междинният адрес не е местоположение. Потребителското име не е доказателство кой е писал на клавиатурата. Регистрирана сесия не е доказателство, че собственикът на акаунта е присъствал.
Запишете коя връзка липсва, преди да запишете заключение.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Проверка 3: датирайте доказателствата, които цитирате
Старите доклади свиват времето лошо. Записи, които никога не са водени, записи, изтекли по политика за съхранение, записи, които са съществували, но никога не са били съпоставяни между организации, и разследвания, които просто не са били продължени, оставят една и съща следа в съвременно обобщение: нищо. Само първото е твърдение за техническите възможности.
Предпочитайте първични документи с дати пред припомнени обобщения и цитирайте изречението, на което разчитате.
Проверка 4: устоявайте на превръщането на историята в каталог от техники
Историческият въпрос е какво е било наблюдаемо и какво е могло да се установи от него. Списък с открити услуги и стандартни идентификационни данни отговаря на друг въпрос и е грешен вид отговор за читател, който се опитва да разбере атрибутирането. Той е и ненужен, защото аргументът издържа без оперативни подробности.
Ако един пример се нуждае от рецепта, за да е интересен, примерът върши грешната работа.
Проверка 5: формулирайте по-тясното заключение, което можете да защитите
Защитимо заключение звучи така: оцелелият запис показва, че указания са съществували, че някои оператори са събирали журнали за удостоверяване и че конкретният случай не е дал доказателства, достатъчни за идентифициране на човек. Това е по-тясно от твърдението, че никой не е наблюдавал, и е по-полезно, защото може да се провери. Отбележете и какво би променило изхода, тъй като липсващата корелация е различен провал от липсващите данни. След това спрете.
Широки твърдения за цяло десетилетие изискват записи от това десетилетие, а не правдоподобна история за това как е било едно време.