Una attribució fallida no demostra que l'atacant fos anònim
Un cas sense culpable identificat mostra què podien establir les proves, no que l'anonimat funcionés. Separa les directrius, la seva adopció i el fracàs de l'atribució.
Un cas que acaba sense un culpable identificat sol descriure's com a anònim, i aquesta paraula fa molta feina silenciosa. Converteix una afirmació sobre les proves en una afirmació sobre el món. Les dues coses no són el mateix, i en incidents antics la diferència sol ser l'únic que el registre supervivent pot sostenir. Un incident sense atribuir et diu què es podia establir, no què era possible.
Cinc comprovacions mantenen les dues coses separades.
Comprovació 1: separa les directrius de la seva adopció
El RFC 1281, publicat el novembre de 1991, recomanava conservar i auditar registres rellevants per a la seguretat, donar suport al rastreig de connexions i nomenar un contacte de seguretat per gestionar incidents. També demanava als operadors que publiquessin què recollien i qui ho podia fer servir. És un registre datat del que es recomanava, que és una afirmació diferent del que va fer qualsevol xarxa concreta.
Una recomanació és prova que la preocupació existia. No és prova d'implementació, i de cap manera no és prova que una investigació concreta tingués èxit.
Comprovació 2: anomena quin enllaç de l'atribució es va trencar
L'atribució és una cadena, i cada enllaç falla a la seva manera: una observació de xarxa, el compte associat, el control d'aquest compte en aquell moment i les proves que connecten aquest control amb una persona. Una adreça intermediària no és una ubicació. Un nom d'usuari no és prova de qui va escriure al teclat. Una sessió registrada no és prova que el titular del compte hi fos present.
Anota quin enllaç falta abans d'escriure una conclusió.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Comprovació 3: data les proves que cites
Els informes antics comprimeixen malament el temps. Els registres que mai no es van mantenir, els que van caducar per una política de retenció, els que existien però mai no es van correlacionar entre organitzacions i les investigacions que simplement no es van seguir deixen la mateixa petjada en un resum modern: res. Només el primer és una afirmació sobre la capacitat tècnica.
Prefereix documents primaris amb dates abans que resums recordats, i cita la frase en què et bases.
Comprovació 4: resisteix la temptació de convertir la història en un catàleg de tècniques
La pregunta històrica és què era observable i què se'n podia establir. Una llista de serveis exposats i credencials per defecte respon una altra pregunta, i és el tipus de resposta equivocat per a un lector que intenta entendre l'atribució. També és innecessària, perquè l'argument es manté sense detalls operatius.
Si un exemple necessita una recepta per ser interessant, l'exemple fa la feina equivocada.
Comprovació 5: formula la troballa més estreta que puguis defensar
Una troballa defensable sona així: el registre supervivent mostra que hi havia directrius, que alguns operadors recollien registres d'autenticació i que el cas concret no va produir proves suficients per identificar una persona. Això és més estret que dir que ningú no mirava, i és més útil perquè es pot comprovar. Anota també què hauria canviat el resultat, ja que la manca de correlació és un fracàs diferent de la manca de dades. Després atura't.
Les afirmacions àmplies sobre una dècada sencera necessiten registres d'aquella dècada, no una història plausible sobre com eren les coses abans.