Unha atribución fallida non demostra que o atacante fose anónimo
Un caso sen culpable identificado mostra o que podían establecer as probas, non que o anonimato funcionase. Separa a guía, a súa adopción e o fracaso da atribución.
Un caso que remata sen un culpable identificado adoita describirse como anónimo, e esa palabra fai moito traballo silencioso. Converte unha afirmación sobre as probas nunha afirmación sobre o mundo. As dúas cousas non son o mesmo, e en incidentes antigos a diferenza adoita ser o único que o rexistro supervivente pode soster. Un incidente sen atribuír diche o que se podía establecer, non o que era posible.
Cinco comprobacións manteñen as dúas cousas separadas.
Comprobación 1: separa a guía da súa adopción
O RFC 1281, publicado en novembro de 1991, recomendaba conservar e auditar rexistros relevantes para a seguridade, apoiar o rastrexo de conexións e nomear un contacto de seguridade para xestionar incidentes. Tamén pedía aos operadores que publicasen o que recollían e quen podía usalo. É un rexistro datado do que se recomendaba, que é unha afirmación distinta do que fixo calquera rede concreta.
Unha recomendación é proba de que a preocupación existía. Non é proba de implementación e desde logo non é proba de que unha investigación concreta tivese éxito.
Comprobación 2: nomea que elo da atribución se rompeu
A atribución é unha cadea, e cada elo falla á súa maneira: unha observación de rede, a conta asociada, o control desa conta naquel momento e as probas que conectan ese control cunha persoa. Un enderezo intermedio non é unha localización. Un nome de usuario non é proba de quen escribiu no teclado. Unha sesión rexistrada non é proba de que o titular da conta estivese presente.
Anota que elo falta antes de anotar unha conclusión.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Comprobación 3: data as probas que citas
Os informes antigos comprimen mal o tempo. Os rexistros que nunca se levaron, os que caducaron por unha política de retención, os que existían pero nunca se correlacionaron entre organizacións e as investigacións que simplemente non se seguiron deixan a mesma pegada nun resumo moderno: nada. Só o primeiro é unha afirmación sobre a capacidade técnica.
Prefire documentos primarios con datas antes que resumos recordados, e cita a frase na que te apoias.
Comprobación 4: resiste a tentación de converter a historia nun catálogo de técnicas
A pregunta histórica é que era observable e que se podía establecer a partir diso. Unha lista de servizos expostos e credenciais por defecto responde a outra pregunta, e é o tipo de resposta equivocado para un lector que intenta entender a atribución. Tamén é innecesaria, porque o argumento se sostén sen detalles operativos.
Se un exemplo necesita unha receita para ser interesante, o exemplo fai o traballo equivocado.
Comprobación 5: formula o achado máis estreito que poidas defender
Un achado defendible lese así: o rexistro supervivente mostra que existía unha guía, que algúns operadores recollían rexistros de autenticación e que o caso concreto non produciu probas suficientes para identificar a unha persoa. Iso é máis estreito que dicir que ninguén miraba, e é máis útil porque se pode comprobar. Anota tamén que tería cambiado o resultado, xa que a falta de correlación é un fracaso distinto da falta de datos. Despois detente.
As afirmacións amplas sobre unha década enteira necesitan rexistros desa década, non unha historia plausible sobre como adoitaban ser as cousas.