Neúspěšná atribuce neprokazuje, že útočník byl anonymní
Případ bez jmenovaného pachatele ukazuje, co mohly důkazy prokázat, nikoli že anonymita fungovala. Oddělte pokyny, jejich přijetí a selhání atribuce.
Případ, který skončí bez jmenovaného pachatele, se obvykle popisuje jako anonymní a to slovo dělá hodně tiché práce. Převádí tvrzení o důkazech na tvrzení o světě. To nejsou totéž a u starších incidentů je rozdíl často jediné, co dochovaný záznam může podpořit. Incident bez atribuce vám říká, co bylo možné prokázat, ne co bylo možné.
Pět kontrol drží obojí oddělené.
Kontrola 1: oddělte pokyny od jejich přijetí
RFC 1281, vydaný v listopadu 1991, doporučoval uchovávat a auditovat záznamy související s bezpečností, podporovat sledování spojení a určit bezpečnostní kontakt pro řešení incidentů. Také žádal provozovatele, aby zveřejnili, co shromažďují a kdo to může používat. To je datovaný záznam o tom, co bylo doporučeno, což je jiné tvrzení než to, co udělala kterákoli konkrétní síť.
Doporučení je důkaz, že obava existovala. Není to důkaz implementace a rozhodně to není důkaz, že konkrétní vyšetřování uspělo.
Kontrola 2: pojmenujte, který článek atribuce se přerušil
Atribuce je řetěz a každý článek selhává po svém: síťové pozorování, účet s ním spojený, kontrola nad tímto účtem v dané době a důkazy spojující tuto kontrolu s osobou. Zprostředkující adresa není místo. Uživatelské jméno není důkazem, kdo psal na klávesnici. Zaznamenaná relace není důkazem, že majitel účtu byl přítomen.
Než zapíšete závěr, zapíšte, který článek chybí.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrola 3: datujte důkazy, které citujete
Staré zprávy špatně stlačují čas. Záznamy, které se nikdy nevedly, záznamy s vypršenou retenční lhůtou, záznamy, které existovaly, ale nikdy se mezi organizacemi nekorelovaly, a vyšetřování, která se prostě neprováděla, zanechávají v moderním shrnutí stejnou stopu: nic. Jen to první je tvrzení o technické schopnosti.
Upřednostněte primární dokumenty s daty před pamatovanými shrnutími a citujte větu, o kterou se opíráte.
Kontrola 4: odolejte přeměně historie na katalog technik
Historická otázka zní, co bylo pozorovatelné a co z toho bylo možné prokázat. Seznam vystavených služeb a výchozích přihlašovacích údajů odpovídá na jinou otázku a je to špatný druh odpovědi pro čtenáře, který se snaží porozumět atribuci. Je také zbytečný, protože argument obstojí i bez provozních podrobností.
Pokud příklad potřebuje recept, aby byl zajímavý, dělá příklad špatnou práci.
Kontrola 5: uveďte užší zjištění, které dokážete obhájit
Obhajitelné zjištění zní takto: dochovaný záznam ukazuje, že pokyny existovaly, že někteří provozovatelé shromažďovali autentizační protokoly a že konkrétní případ nepřinesl důkazy dostatečné k identifikaci osoby. To je užší než tvrzení, že nikdo nesledoval, a je užitečnější, protože se dá ověřit. Poznamenejte také, co by změnilo výsledek, protože chybějící korelace je jiné selhání než chybějící data. Pak přestaňte.
Široká tvrzení o celé dekádě potřebují záznamy z té dekády, ne věrohodný příběh o tom, jak to dřív chodilo.