Ebaõnnestunud atributsioon ei tõesta, et ründaja oli anonüümne
Juhtum, kus süüdlast ei nimetata, näitab, mida tõendid suutsid tuvastada, mitte seda, et anonüümsus toimis. Eraldage juhised, nende rakendamine ja ebaõnnestunud atributsioon.
Juhtumit, mis lõpeb ilma nimetatud süüdlaseta, kirjeldatakse tavaliselt anonüümsena, ja see sõna teeb palju vaikset tööd. See muudab tõendite kohta käiva väite maailma kohta käivaks väiteks. Need kaks ei ole sama asi, ja vanemate juhtumite puhul on erinevus sageli ainus, mida säilinud kirje suudab toetada. Atributsioonita juhtum ütleb teile, mida oli võimalik tuvastada, mitte mida oli võimalik teha.
Viis kontrolli hoiavad neid kahte lahus.
Kontroll 1: eraldage juhis selle rakendamisest
RFC 1281, mis avaldati 1991. aasta novembris, soovitas säilitada ja auditeerida turbekohaseid kirjeid, toetada ühenduste jälgimist ja määrata intsidentide käsitlemiseks turvakontakt. Samuti palus see operaatoritel avaldada, mida nad koguvad ja kes seda kasutada võib. See on dateeritud kirje selle kohta, mida soovitati, mis on teistsugune väide kui see, mida tegi mõni konkreetne võrk.
Soovitus on tõend, et mure oli olemas. See ei ole tõend rakendamisest ja kindlasti mitte tõend, et konkreetne uurimine õnnestus.
Kontroll 2: nimetage, milline atributsiooni lüli katkes
Atributsioon on ahel ja iga lüli ebaõnnestub omamoodi: võrguvaatlus, sellega seotud konto, kontroll selle konto üle sel hetkel ja tõendid, mis seovad selle kontrolli isikuga. Vahepealne aadress ei ole asukoht. Kasutajanimi ei ole tõend, kes klaviatuuril kirjutas. Logitud sessioon ei ole tõend, et konto omanik oli kohal.
Kirjutage üles, milline lüli puudub, enne kui kirjutate järelduse.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontroll 3: dateerige tõendid, millele viitate
Vanad aruanded pakivad aega halvasti. Kirjed, mida kunagi ei peetud, säilituspoliitika alusel aegunud kirjed, kirjed, mis olid olemas, kuid mida ei korreleeritud kunagi organisatsioonide vahel, ja uurimised, mida lihtsalt ei jätkatud, jätavad kaasaegses kokkuvõttes kõik sama jälje: mitte midagi. Ainult esimene on väide tehnilise võimekuse kohta.
Eelistage dateeritud algdokumente meenutatud kokkuvõtetele ja tsiteerige lauset, millele toetute.
Kontroll 4: vastustage kiusatust muuta ajalugu tehnikate kataloogiks
Ajalooline küsimus on, mis oli vaadeldav ja mida sai sellest tuvastada. Loetelu avatud teenustest ja vaikimisi mandaatidest vastab teisele küsimusele ja on vale tüüpi vastus lugejale, kes püüab atributsiooni mõista. See on ka tarbetu, sest argument peab ilma operatiivsete üksikasjadeta.
Kui näide vajab huvitav olemiseks retsepti, teeb näide vale tööd.
Kontroll 5: sõnastage kitsam järeldus, mida suudate kaitsta
Kaitstav järeldus kõlab nii: säilinud kirje näitab, et juhised olid olemas, et mõned operaatorid kogusid autentimislogisid ja et konkreetne juhtum ei andnud tõendeid, millest piisaks isiku tuvastamiseks. See on kitsam kui väide, et keegi ei jälginud, ja see on kasulikum, sest seda saab kontrollida. Märkige ka, mis oleks tulemust muutnud, sest puuduv korrelatsioon on teistsugune ebaõnnestumine kui puuduvad andmed. Seejärel lõpetage.
Laiad väited terve aastakümne kohta vajavad kirjeid sellest aastakümnest, mitte usutavat lugu sellest, kuidas asjad varem olid.