Gescheiterte Attribution beweist nicht, dass der Angreifer anonym war

Ein Fall, der ohne benannten Täter endet, wird gern als anonym beschrieben, und dieses Wort leistet viel stille Arbeit. Es verwandelt eine Aussage über Beweise in eine Aussage über die Welt. Beides ist nicht dasselbe, und bei älteren Vorfällen ist der Unterschied oft das Einzige, was der überlieferte Bestand tragen kann. Ein nicht zugeordneter Vorfall sagt Ihnen, was sich feststellen ließ, nicht was möglich war.

Fünf Prüfungen halten beides auseinander.

Prüfung 1: Trennen Sie die Empfehlung von ihrer Umsetzung

RFC 1281, veröffentlicht im November 1991, empfahl, sicherheitsrelevante Aufzeichnungen aufzubewahren und zu prüfen, die Verfolgung von Verbindungen zu unterstützen und einen Sicherheitskontakt für die Vorfallbearbeitung zu benennen. Er forderte Betreiber außerdem auf zu veröffentlichen, was sie erheben und wer es nutzen darf. Das ist eine datierte Aufzeichnung dessen, was empfohlen wurde, was eine andere Aussage ist als die, was ein bestimmtes Netz tatsächlich tat.

Eine Empfehlung ist ein Beleg dafür, dass die Sorge bestand. Sie ist kein Beleg für die Umsetzung und gewiss kein Beleg dafür, dass eine bestimmte Untersuchung erfolgreich war.

Prüfung 2: Benennen Sie, welches Glied der Attribution brach

Attribution ist eine Kette, und jedes Glied versagt auf seine Weise: eine Netzbeobachtung, das zugehörige Konto, die Kontrolle über dieses Konto zu jenem Zeitpunkt und die Beweise, die diese Kontrolle mit einer Person verbinden. Eine Zwischenadresse ist kein Ort. Ein Benutzername ist kein Beweis dafür, wer die Tastatur bediente. Eine protokollierte Sitzung ist kein Beweis dafür, dass der Kontoinhaber anwesend war.

Notieren Sie, welches Glied fehlt, bevor Sie eine Schlussfolgerung notieren.

Prüfung 3: Datieren Sie die Beweise, die Sie anführen

Alte Berichte verdichten Zeit schlecht. Aufzeichnungen, die nie geführt wurden, Aufzeichnungen, die nach einer Aufbewahrungsrichtlinie verfielen, Aufzeichnungen, die existierten, aber nie zwischen Organisationen korreliert wurden, und Untersuchungen, die schlicht nicht weiterverfolgt wurden, hinterlassen in einer modernen Zusammenfassung alle dieselbe Spur: nichts. Nur das Erste ist eine Aussage über technische Fähigkeiten.

Bevorzugen Sie datierte Primärdokumente gegenüber erinnerten Zusammenfassungen und zitieren Sie den Satz, auf den Sie sich stützen.

Prüfung 4: Widerstehen Sie der Versuchung, Geschichte in einen Technikkatalog zu verwandeln

Die historische Frage lautet, was beobachtbar war und was sich daraus feststellen ließ. Eine Liste exponierter Dienste und Standardzugangsdaten beantwortet eine andere Frage, und sie ist die falsche Art von Antwort für Leser, die Attribution verstehen wollen. Sie ist auch unnötig, denn das Argument trägt ohne operative Details.

Wenn ein Beispiel ein Rezept braucht, um interessant zu sein, leistet das Beispiel die falsche Arbeit.

Prüfung 5: Nennen Sie den engeren Befund, den Sie verteidigen können

Ein belastbarer Befund liest sich so: Der überlieferte Bestand zeigt, dass Empfehlungen existierten, dass einige Betreiber Authentifizierungsprotokolle sammelten und dass der konkrete Fall keine Beweise hervorbrachte, die ausreichten, um eine Person zu identifizieren. Das ist enger als die Aussage, niemand habe hingesehen, und es ist nützlicher, weil es überprüfbar ist. Vermerken Sie auch, was das Ergebnis geändert hätte, denn fehlende Korrelation ist ein anderes Versagen als fehlende Daten. Dann hören Sie auf.

Weite Aussagen über ein ganzes Jahrzehnt brauchen Aufzeichnungen aus diesem Jahrzehnt, nicht eine plausible Geschichte darüber, wie es früher war.