Malsukcesinta atribuado ne pruvas, ke la atakanto estis anonima
Kazo sen nomita deliktulo montras, kion la pruvoj povis konstati, ne ke anonimeco funkciis. Apartigu gvidliniojn, adopton kaj malsukcesan atribuadon.
Kazo, kiu finiĝas sen nomita deliktulo, kutime estas priskribata kiel anonima, kaj tiu vorto faras multan silentan laboron. Ĝi transformas aserton pri pruvoj en aserton pri la mondo. La du ne estas la sama afero, kaj ĉe pli malnovaj incidentoj la diferenco ofte estas la sola afero, kiun la postvivanta registro povas subteni. Incidento sen atribuado diras al vi, kion eblis konstati, ne kion eblis fari.
Kvin kontroloj tenas la du apartaj.
Kontrolo 1: apartigu la gvidlinion de ĝia adopto
RFC 1281, publikigita en novembro 1991, rekomendis konservi kaj revizii sekurec-rilatajn registrojn, subteni spuraron de konektoj kaj nomi sekurecan kontakton por traktado de incidentoj. Ĝi ankaŭ petis de operatoroj publikigi, kion ili kolektas kaj kiu povas uzi ĝin. Tio estas datita registro pri tio, kio estis rekomendita, kio estas malsama aserto ol tio, kion faris iu konkreta reto.
Rekomendo estas pruvo, ke la zorgo ekzistis. Ĝi ne estas pruvo de efektivigo, kaj certe ne estas pruvo, ke specifa enketo sukcesis.
Kontrolo 2: nomu, kiu ligo en la atribuado rompiĝis
Atribuado estas ĉeno, kaj ĉiu ligo malsukcesas laŭ sia maniero: reta observado, la konto asociita kun ĝi, kontrolo de tiu konto tiutempe, kaj la pruvoj ligantaj tiun kontrolon al persono. Intera adreso ne estas loko. Uzantnomo ne estas pruvo, kiu tajpis ĉe la klavaro. Registrita sesio ne estas pruvo, ke la kontposedanto ĉeestis.
Skribu, kiu ligo mankas, antaŭ ol skribi konkludon.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrolo 3: datu la pruvojn, kiujn vi citas
Malnovaj raportoj malbone kunpremas tempon. Registroj neniam tenantaj, registroj eksvalidiĝintaj laŭ konserva politiko, registroj ekzistintaj sed neniam kunrilatigitaj inter organizoj, kaj enketoj simple ne daŭrigitaj ĉiuj lasas la saman spuron en moderna resumo: nenion. Nur la unua estas aserto pri teknika kapablo.
Preferu unuajn dokumentojn kun datoj al memorataj resumoj, kaj citu la frazon, sur kiu vi baziĝas.
Kontrolo 4: rezistu la tenton igi historion katalogo de teknikoj
La historia demando estas, kio estis observebla kaj kion eblis konstati el ĝi. Listo de eksponitaj servoj kaj defaŭltaj akreditaĵoj respondas al alia demando, kaj ĝi estas la malĝusta speco de respondo por leganto, kiu provas kompreni atribuadon. Ĝi ankaŭ estas nenecesa, ĉar la argumento teniĝas sen operaciaj detaloj.
Se ekzemplo bezonas recepton por esti interesa, la ekzemplo faras la malĝustan laboron.
Kontrolo 5: esprimu la pli mallarĝan konstaton, kiun vi povas defendi
Defendebla konstato tekstas tiel: la postvivanta registro montras, ke gvidlinioj ekzistis, ke iuj operatoroj kolektis aŭtentigajn protokolojn, kaj ke la specifa kazo produktis neniun pruvon sufiĉan por identigi personon. Tio estas pli mallarĝa ol ke neniu observis, kaj ĝi estas pli utila, ĉar ĝi estas kontrolebla. Notu ankaŭ, kio ŝanĝus la rezulton, ĉar mankanta kunrilatigo estas alia malsukceso ol mankantaj datumoj. Tiam haltu.
Larĝaj asertoj pri tuta jardeko bezonas registrojn el tiu jardeko, ne kredindan rakonton pri tio, kiel aferoj iam estis.