Neuspjelo pripisivanje ne dokazuje da je napadač bio anoniman
Slučaj bez imenovanog počinitelja pokazuje šta su dokazi mogli utvrditi, a ne da je anonimnost uspjela. Odvojite smjernice, primjenu i neuspjelo pripisivanje.
Slučaj koji završi bez imenovanog počinitelja obično se opisuje kao anoniman, a ta riječ obavi mnogo tihog posla. Ona tvrdnju o dokazima pretvara u tvrdnju o svijetu. To dvoje nije isto, a kod starijih incidenata razlika je često jedino što preživjeli zapis može podržati. Incident bez pripisivanja kaže vam šta se moglo utvrditi, a ne šta je bilo moguće.
Pet provjera drži to dvoje odvojenim.
Provjera 1: odvojite smjernice od njihove primjene
RFC 1281, objavljen u novembru 1991, preporučivao je čuvanje i reviziju sigurnosno relevantnih zapisa, podršku praćenju veza i imenovanje sigurnosnog kontakta za rješavanje incidenata. Također je tražio od operatera da objave šta prikupljaju i ko to može koristiti. To je datiran zapis o tome šta je preporučeno, što je drugačija tvrdnja od onoga što je učinila bilo koja konkretna mreža.
Preporuka je dokaz da je zabrinutost postojala. Nije dokaz primjene i svakako nije dokaz da je određena istraga uspjela.
Provjera 2: navedite koja je karika u pripisivanju pukla
Pripisivanje je lanac i svaka karika pada na svoj način: mrežno opažanje, račun povezan s njim, kontrola tog računa u tom trenutku i dokazi koji tu kontrolu povezuju s osobom. Posrednička adresa nije lokacija. Korisničko ime nije dokaz ko je tipkao na tastaturi. Zabilježena sesija nije dokaz da je vlasnik računa bio prisutan.
Zapišite koja karika nedostaje prije nego zapišete zaključak.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Provjera 3: datirajte dokaze koje navodite
Stari izvještaji loše sabijaju vrijeme. Zapisi koji nikada nisu vođeni, zapisi kojima je istekao rok prema politici čuvanja, zapisi koji su postojali ali nikada nisu bili povezani između organizacija i istrage koje jednostavno nisu nastavljene ostavljaju isti trag u savremenom sažetku: ništa. Samo je prvo tvrdnja o tehničkoj sposobnosti.
Pretpostavite primarne dokumente s datumima umjesto pamćenih sažetaka i citirajte rečenicu na koju se oslanjate.
Provjera 4: oduprite se pretvaranju historije u katalog tehnika
Historijsko pitanje je šta je bilo vidljivo i šta se iz toga moglo utvrditi. Popis izloženih servisa i zadanih akreditiva odgovara na drugo pitanje i pogrešna je vrsta odgovora za čitaoca koji pokušava razumjeti pripisivanje. Također je nepotreban, jer argument stoji i bez operativnih detalja.
Ako primjer treba recept da bi bio zanimljiv, primjer radi pogrešan posao.
Provjera 5: navedite uža utvrđenja koja možete braniti
Odbranjiv nalaz zvuči ovako: preživjeli zapis pokazuje da su smjernice postojale, da su neki operateri prikupljali dnevnike autentifikacije i da konkretan slučaj nije proizveo dokaze dovoljne za identifikaciju osobe. To je uže od tvrdnje da niko nije gledao i korisnije je jer se može provjeriti. Zabilježite i šta bi promijenilo ishod, jer nedostatak korelacije je drugačiji neuspjeh od nedostatka podataka. Zatim prestanite.
Široke tvrdnje o cijeloj deceniji zahtijevaju zapise iz te decenije, a ne uvjerljivu priču o tome kako je nekada bilo.