Mislykket tilskrivning beviser ikke, at angriberen var anonym
En sag uden en navngivet gerningsmand viser, hvad beviserne kunne fastslå, ikke at anonymitet virkede. Adskil vejledning, anvendelse og mislykket tilskrivning.
En sag, der slutter uden en navngivet gerningsmand, bliver ofte beskrevet som anonym, og det ord gør en masse stille arbejde. Det forvandler en udtalelse om beviser til en udtalelse om verden. De to er ikke det samme, og for ældre hændelser er forskellen ofte det eneste, den bevarede registrering kan understøtte. En hændelse uden tilskrivning fortæller dig, hvad der kunne fastslås, ikke hvad der var muligt.
Fem kontroller holder de to ting adskilt.
Kontrol 1: adskil vejledningen fra dens anvendelse
RFC 1281, udgivet i november 1991, anbefalede at opbevare og revidere sikkerhedsrelevante registreringer, understøtte sporing af forbindelser og udpege en sikkerhedskontakt til håndtering af hændelser. Den bad også operatører om at offentliggøre, hvad de indsamlede, og hvem der kunne bruge det. Det er en dateret registrering af, hvad der blev anbefalet, hvilket er en anden påstand end, hvad et bestemt netværk gjorde.
En anbefaling er bevis for, at bekymringen var til stede. Det er ikke bevis for implementering, og det er bestemt ikke bevis for, at en bestemt undersøgelse lykkedes.
Kontrol 2: navngiv hvilket led i tilskrivningen der brød
Tilskrivning er en kæde, og hvert led fejler på sin egen måde: en netværksobservation, kontoen forbundet med den, kontrollen over den konto på det tidspunkt og beviserne, der forbinder den kontrol med en person. En mellemliggende adresse er ikke en placering. Et brugernavn er ikke bevis for, hvem der skrev på tastaturet. En logget session er ikke bevis for, at kontoejeren var til stede.
Skriv ned, hvilket led der mangler, før du skriver en konklusion.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrol 3: datér de beviser, du henviser til
Gamle rapporter komprimerer tiden dårligt. Registreringer, der aldrig blev ført, registreringer, der udløb under en opbevaringspolitik, registreringer, der fandtes, men aldrig blev korreleret mellem organisationer, og undersøgelser, der simpelthen ikke blev fortsat, efterlader alle samme spor i et moderne resumé: intet. Kun det første er en udtalelse om teknisk formåen.
Foretræk primære dokumenter med datoer frem for huskede resuméer, og citér den sætning, du bygger på.
Kontrol 4: modstå at gøre historien til en teknik-katalog
Det historiske spørgsmål er, hvad der var observerbart, og hvad der kunne fastslås ud fra det. En liste over eksponerede tjenester og standardlegitimationsoplysninger besvarer et andet spørgsmål, og det er den forkerte slags svar til en læser, der prøver at forstå tilskrivning. Det er også unødvendigt, fordi argumentet holder uden operationelle detaljer.
Hvis et eksempel har brug for en opskrift for at være interessant, laver eksemplet det forkerte arbejde.
Kontrol 5: angiv det snævrere fund, du kan forsvare
Et forsvarligt fund lyder sådan: den bevarede registrering viser, at der fandtes vejledning, at nogle operatører indsamlede godkendelseslogs, og at den konkrete sag ikke frembragte beviser nok til at identificere en person. Det er snævrere end, at ingen holdt øje, og det er mere nyttigt, fordi det kan kontrolleres. Notér også, hvad der ville have ændret udfaldet, da manglende korrelation er en anden fejl end manglende data. Stop derefter.
Brede påstande om et helt årti kræver registreringer fra det årti, ikke en plausibel historie om, hvordan tingene plejede at være.