Η αποτυχημένη απόδοση δεν αποδεικνύει ότι ο επιτιθέμενος ήταν ανώνυμος
Μια υπόθεση χωρίς κατονομαζόμενο δράστη δείχνει τι μπορούσαν να αποδείξουν τα στοιχεία, όχι ότι η ανωνυμία λειτούργησε. Διαχωρίστε την καθοδήγηση, την υιοθέτηση και την αποτυχία απόδοσης.
Μια υπόθεση που τελειώνει χωρίς κατονομαζόμενο δράστη συνήθως περιγράφεται ως ανώνυμη, και αυτή η λέξη κάνει πολλή ήσυχη δουλειά. Μετατρέπει μια δήλωση για τα στοιχεία σε δήλωση για τον κόσμο. Τα δύο δεν είναι το ίδιο, και σε παλαιότερα περιστατικά η διαφορά είναι συχνά το μόνο που μπορεί να στηρίξει το σωζόμενο αρχείο. Ένα περιστατικό χωρίς απόδοση σας λέει τι μπορούσε να αποδειχθεί, όχι τι ήταν δυνατό.
Πέντε έλεγχοι κρατούν τα δύο χωριστά.
Έλεγχος 1: διαχωρίστε την καθοδήγηση από την υιοθέτησή της
Το RFC 1281, που δημοσιεύθηκε τον Νοέμβριο του 1991, συνιστούσε τη διατήρηση και τον έλεγχο αρχείων σχετικών με την ασφάλεια, την υποστήριξη της ιχνηλάτησης συνδέσεων και τον ορισμό επαφής ασφαλείας για τη διαχείριση περιστατικών. Ζητούσε επίσης από τους φορείς εκμετάλλευσης να δημοσιεύουν τι συλλέγουν και ποιος μπορεί να το χρησιμοποιήσει. Αυτό είναι ένα χρονολογημένο αρχείο του τι συνιστούσε, που είναι διαφορετικός ισχυρισμός από το τι έκανε κάποιο συγκεκριμένο δίκτυο.
Μια σύσταση είναι απόδειξη ότι η ανησυχία υπήρχε. Δεν είναι απόδειξη εφαρμογής και σίγουρα δεν είναι απόδειξη ότι μια συγκεκριμένη έρευνα πέτυχε.
Έλεγχος 2: ονομάστε ποιος κρίκος στην απόδοση έσπασε
Η απόδοση είναι αλυσίδα και κάθε κρίκος αποτυγχάνει με τον τρόπο του: μια παρατήρηση δικτύου, ο λογαριασμός που συνδέεται με αυτήν, ο έλεγχος εκείνου του λογαριασμού εκείνη τη στιγμή και τα στοιχεία που συνδέουν αυτόν τον έλεγχο με ένα πρόσωπο. Μια ενδιάμεση διεύθυνση δεν είναι τοποθεσία. Ένα όνομα χρήστη δεν αποδεικνύει ποιος πληκτρολόγησε. Μια καταγεγραμμένη συνεδρία δεν αποδεικνύει ότι ο κάτοχος του λογαριασμού ήταν παρών.
Γράψτε ποιος κρίκος λείπει πριν γράψετε συμπέρασμα.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Έλεγχος 3: χρονολογήστε τα στοιχεία που επικαλείστε
Οι παλιές εκθέσεις συμπιέζουν άσχημα τον χρόνο. Αρχεία που δεν τηρήθηκαν ποτέ, αρχεία που έληξαν βάσει πολιτικής διατήρησης, αρχεία που υπήρχαν αλλά δεν συσχετίστηκαν ποτέ μεταξύ οργανισμών και έρευνες που απλώς δεν συνεχίστηκαν αφήνουν όλα το ίδιο ίχνος σε μια σύγχρονη σύνοψη: τίποτα. Μόνο το πρώτο είναι δήλωση για την τεχνική ικανότητα.
Προτιμήστε πρωτογενή έγγραφα με ημερομηνίες αντί για ανακληθείσες συνόψεις και παραθέστε την πρόταση στην οποία βασίζεστε.
Έλεγχος 4: αντισταθείτε στον πειρασμό να μετατρέψετε την ιστορία σε κατάλογο τεχνικών
Το ιστορικό ερώτημα είναι τι ήταν παρατηρήσιμο και τι μπορούσε να αποδειχθεί από αυτό. Ένας κατάλογος εκτεθειμένων υπηρεσιών και προεπιλεγμένων διαπιστευτηρίων απαντά σε άλλο ερώτημα και είναι λάθος είδος απάντησης για αναγνώστη που προσπαθεί να κατανοήσει την απόδοση. Είναι επίσης περιττός, γιατί το επιχείρημα στέκει χωρίς επιχειρησιακές λεπτομέρειες.
Αν ένα παράδειγμα χρειάζεται συνταγή για να είναι ενδιαφέρον, το παράδειγμα κάνει λάθος δουλειά.
Έλεγχος 5: διατυπώστε το στενότερο εύρημα που μπορείτε να υπερασπιστείτε
Ένα υπερασπίσιμο εύρημα διαβάζεται έτσι: το σωζόμενο αρχείο δείχνει ότι υπήρχε καθοδήγηση, ότι ορισμένοι φορείς συγκέντρωναν αρχεία ελέγχου ταυτότητας και ότι η συγκεκριμένη υπόθεση δεν παρήγαγε στοιχεία αρκετά για να ταυτοποιηθεί πρόσωπο. Αυτό είναι στενότερο από το ότι κανείς δεν παρατηρούσε, και είναι πιο χρήσιμο επειδή μπορεί να ελεγχθεί. Σημειώστε επίσης τι θα άλλαζε την έκβαση, αφού η έλλειψη συσχέτισης είναι διαφορετική αποτυχία από την έλλειψη δεδομένων. Μετά σταματήστε.
Οι ευρείς ισχυρισμοί για μια ολόκληρη δεκαετία απαιτούν αρχεία από εκείνη τη δεκαετία, όχι μια εύλογη ιστορία για το πώς ήταν κάποτε τα πράγματα.