شکست در انتساب ثابت نمی‌کند که مهاجم ناشناس بوده است
پرونده‌ای بدون مجرم نام‌برده نشان می‌دهد شواهد چه چیزی را می‌توانست اثبات کند، نه اینکه ناشناس ماندن جواب داده باشد. راهنما، پذیرش و شکست انتساب را از هم جدا کنید.
پرونده‌ای که بدون مجرم نام‌برده پایان می‌یابد معمولاً ناشناس توصیف می‌شود و آن واژه کار آرام زیادی انجام می‌دهد. گفته‌ای درباره شواهد را به گفته‌ای درباره جهان تبدیل می‌کند. این دو یکی نیستند و در رخدادهای قدیمی‌تر تفاوت غالباً تنها چیزی است که سند بازمانده می‌تواند پشتیبانی کند. رخداد بدون انتساب به شما می‌گوید چه چیزی قابل اثبات بود، نه چه چیزی ممکن بود.
پنج بررسی این دو را از هم جدا نگه می‌دارد.
بررسی 1: راهنما را از پذیرش آن جدا کنید
RFC 1281 که در نوامبر 1991 منتشر شد، حفظ و حسابرسی سوابق مرتبط با امنیت، پشتیبانی از ردیابی اتصال و تعیین یک مخاطب امنیتی برای رسیدگی به رخدادها را توصیه می‌کرد. همچنین از اپراتورها می‌خواست منتشر کنند چه چیزی جمع‌آوری می‌کنند و چه کسی می‌تواند از آن استفاده کند. این سندی تاریخ‌دار از آنچه توصیه شده بود است، که ادعایی متفاوت از آن چیزی است که هر شبکه مشخصی انجام داد.
توصیه شاهدی است بر اینکه نگرانی وجود داشت. شاهدی بر پیاده‌سازی نیست و قطعاً شاهدی بر موفقیت یک تحقیق مشخص نیست.
بررسی 2: نام ببرید کدام حلقه در انتساب شکسته شد
انتساب یک زنجیره است و هر حلقه به شیوه خود شکست می‌خورد: یک مشاهده شبکه‌ای، حسابی که با آن مرتبط است، کنترل آن حساب در آن زمان، و شواهدی که آن کنترل را به یک شخص متصل می‌کند. یک نشانی واسط مکان نیست. نام کاربری شاهدی بر این نیست که چه کسی روی صفحه‌کلید تایپ کرد. نشستی که ثبت شده شاهدی بر حضور صاحب حساب نیست.
پیش از نوشتن نتیجه، بنویسید کدام حلقه گم شده است.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
بررسی 3: شواهدی را که نقل می‌کنید تاریخ‌گذاری کنید
گزارش‌های قدیمی زمان را بد فشرده می‌کنند. سوابقی که هرگز نگه داشته نشدند، سوابقی که تحت سیاست نگهداری منقضی شدند، سوابقی که وجود داشتند اما هرگز میان سازمان‌ها به هم مرتبط نشدند، و تحقیقاتی که به سادگی پیگیری نشدند، همه در یک خلاصه مدرن همان رد را بر جای می‌گذارند: هیچ. فقط مورد اول گفته‌ای درباره توانایی فنی است.
اسناد اولیه تاریخ‌دار را به خلاصه‌های به‌یادمانده ترجیح دهید و جمله‌ای را که بر آن تکیه دارید نقل کنید.
بررسی 4: در برابر تبدیل تاریخ به فهرست تکنیک‌ها مقاومت کنید
پرسش تاریخی این است که چه چیزی قابل مشاهده بود و چه چیزی از آن قابل اثبات بود. فهرستی از سرویس‌های در معرض و اعتبارنامه‌های پیش‌فرض به پرسشی دیگر پاسخ می‌دهد و برای خواننده‌ای که می‌کوشد انتساب را بفهمد نوع نادرستی از پاسخ است. همچنین لازم نیست، زیرا استدلال بدون جزئیات عملیاتی دوام می‌آورد.
اگر یک مثال برای جالب بودن به دستور تهیه نیاز دارد، مثال کار نادرستی انجام می‌دهد.
بررسی 5: یافته تنگ‌تری را که می‌توانید از آن دفاع کنید بیان کنید
یک یافته قابل دفاع چنین خوانده می‌شود: سند بازمانده نشان می‌دهد که راهنما وجود داشت، برخی اپراتورها گزارش‌های احراز هویت جمع‌آوری می‌کردند و پرونده مشخص هیچ شواهدی که برای شناسایی یک شخص کافی باشد تولید نکرد. این تنگ‌تر از این است که بگوییم هیچ‌کس نگاه نمی‌کرد و مفیدتر است زیرا قابل بررسی است. همچنین بنویسید چه چیزی می‌توانست نتیجه را تغییر دهد، زیرا نبود همبستگی شکستی متفاوت از نبود داده است. سپس متوقف شوید.
ادعاهای گسترده درباره یک دهه کامل به سوابق همان دهه نیاز دارد، نه به روایتی باورپذیر درباره اینکه اوضاع پیش‌تر چگونه بود.