Epäonnistunut attribuutio ei todista, että hyökkääjä oli anonyymi
Tapaus, jossa tekijää ei nimetä, osoittaa, mitä todisteet pystyivät osoittamaan, ei sitä, että anonymiteetti toimi. Erottele ohjeistus, sen käyttöönotto ja epäonnistunut attribuutio.
Tapaus, joka päättyy ilman nimettyä tekijää, kuvataan usein anonyymiksi, ja tuo sana tekee paljon hiljaista työtä. Se muuttaa todisteita koskevan väitteen maailmaa koskevaksi väitteeksi. Ne eivät ole sama asia, ja vanhempien tapausten kohdalla ero on usein ainoa, mitä säilynyt aineisto voi tukea. Attribuoimaton tapaus kertoo, mitä voitiin todeta, ei sitä, mikä oli mahdollista.
Viisi tarkistusta pitää nämä kaksi erillään.
Tarkistus 1: erottele ohjeistus sen käyttöönotosta
RFC 1281, joka julkaistiin marraskuussa 1991, suositteli turvallisuuden kannalta olennaisten tietojen säilyttämistä ja tarkastamista, yhteyksien jäljittämisen tukemista ja turvayhteyshenkilön nimeämistä tapahtumien käsittelyä varten. Se myös pyysi operaattoreita julkaisemaan, mitä he keräävät ja kuka sitä voi käyttää. Se on päivätty tallenne siitä, mitä suositeltiin, mikä on eri väite kuin se, mitä jokin tietty verkko teki.
Suositus on todiste siitä, että huoli oli olemassa. Se ei ole todiste käyttöönotosta eikä varmasti todiste siitä, että tietty tutkinta onnistui.
Tarkistus 2: nimeä, mikä attribuution lenkki katkesi
Attribuutio on ketju, ja jokainen lenkki epäonnistuu omalla tavallaan: verkkohavainto, siihen liittyvä tili, sen tilin hallinta tuona hetkenä ja todisteet, jotka yhdistävät hallinnan henkilöön. Välittävä osoite ei ole sijainti. Käyttäjänimi ei ole todiste siitä, kuka kirjoitti näppäimistöllä. Kirjattu istunto ei ole todiste siitä, että tilin omistaja oli paikalla.
Kirjoita muistiin, mikä lenkki puuttuu, ennen kuin kirjoitat johtopäätöksen.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Tarkistus 3: päivää todisteet, joihin viittaat
Vanhat raportit pakkaavat aikaa huonosti. Tiedot, joita ei koskaan pidetty, säilytyskäytännön vuoksi vanhentuneet tiedot, tiedot, jotka olivat olemassa mutta joita ei koskaan korreloitu organisaatioiden välillä, ja tutkinnat, joita yksinkertaisesti ei jatkettu, jättävät kaikki nykyaikaiseen yhteenvetoon saman jäljen: ei mitään. Vain ensimmäinen on väite teknisestä kyvystä.
Suosi päivättyjä ensisijaisia asiakirjoja muistettujen yhteenvetojen sijaan ja lainaa lause, johon tukeudut.
Tarkistus 4: vastusta historian muuttamista tekniikkaluetteloksi
Historiallinen kysymys on, mikä oli havaittavissa ja mitä siitä voitiin todeta. Luettelo altistuneista palveluista ja oletustunnuksista vastaa toiseen kysymykseen, ja se on vääränlaista vastausta lukijalle, joka yrittää ymmärtää attribuutiota. Se on myös tarpeeton, koska argumentti kestää ilman operatiivisia yksityiskohtia.
Jos esimerkki tarvitsee reseptin ollakseen kiinnostava, esimerkki tekee väärää työtä.
Tarkistus 5: esitä kapeampi löydös, jonka voit puolustaa
Puolustettava löydös kuuluu näin: säilynyt aineisto osoittaa, että ohjeistusta oli, että jotkut operaattorit keräsivät todennuslokeja ja että kyseinen tapaus ei tuottanut riittäviä todisteita henkilön tunnistamiseksi. Se on kapeampi kuin väite, ettei kukaan katsonut, ja hyödyllisempi, koska se voidaan tarkistaa. Merkitse myös, mikä olisi muuttanut lopputulosta, sillä puuttuva korrelaatio on eri epäonnistuminen kuin puuttuvat tiedot. Lopeta sitten.
Laajat väitteet kokonaisesta vuosikymmenestä tarvitsevat tuon vuosikymmenen aineistoa, eivät uskottavaa tarinaa siitä, millaista ennen oli.