ייחוס שנכשל אינו מוכיח שהתוקף היה אנונימי
תיק בלי עבריין מזוהה מראה מה הראיות יכלו לקבוע, ולא שהאנונימיות עבדה. הפרידו בין ההנחיה, אימוצה וכישלון הייחוס.
תיק שמסתיים בלי עבריין מזוהה מתואר לעתים קרובות כאנונימי, והמילה הזאת עושה הרבה עבודה שקטה. היא הופכת אמירה על ראיות לאמירה על העולם. השניים אינם אותו דבר, ובתקריות ישנות ההבדל הוא לעתים קרובות הדבר היחיד שהתיעוד ששרד יכול לתמוך בו. תקרית בלי ייחוס אומרת לכם מה ניתן היה לקבוע, לא מה היה אפשרי.
חמש בדיקות מפרידות בין השניים.
בדיקה 1: הפרידו בין ההנחיה לבין אימוצה
RFC 1281, שפורסם בנובמבר 1991, המליץ לשמור ולבקר תיעוד רלוונטי לאבטחה, לתמוך במעקב אחר חיבורים ולמנות איש קשר לאבטחה לטיפול בתקריות. הוא גם ביקש מהמפעילים לפרסם מה הם אוספים ומי רשאי להשתמש בכך. זהו תיעוד מתוארך של מה שהומלץ, וזו טענה שונה ממה שעשתה רשת מסוימת.
המלצה היא ראיה שהחשש היה קיים. היא אינה ראיה ליישום, ובוודאי אינה ראיה שחקירה מסוימת הצליחה.
בדיקה 2: נקבו באיזו חוליה בייחוס נשברה
ייחוס הוא שרשרת, וכל חוליה נכשלת בדרכה: תצפית ברשת, החשבון הקשור אליה, השליטה באותו חשבון באותו זמן, והראיות שמקשרות את השליטה הזאת לאדם. כתובת מתווכת אינה מיקום. שם משתמש אינו הוכחה למי הקליד במקלדת. הפעלה מתועדת אינה הוכחה שבעל החשבון היה נוכח.
רשמו איזו חוליה חסרה לפני שאתם רושמים מסקנה.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
בדיקה 3: תארכו את הראיות שאתם מצטטים
דוחות ישנים דוחסים זמן רע. תיעוד שלא נשמר מעולם, תיעוד שפג תוקפו לפי מדיניות שימור, תיעוד שהיה קיים אך מעולם לא הוצלב בין ארגונים, וחקירות שפשוט לא נמשכו — כולם משאירים בסיכום מודרני את אותה עקבה: כלום. רק הראשון הוא אמירה על יכולת טכנית.
העדיפו מסמכי מקור מתוארכים על פני סיכומים שנזכרים בהם, וצטטו את המשפט שאתם נשענים עליו.
בדיקה 4: עמדו בפיתוי להפוך את ההיסטוריה לקטלוג של טכניקות
השאלה ההיסטורית היא מה היה ניתן לצפייה ומה ניתן היה לקבוע ממנה. רשימה של שירותים חשופים ופרטי גישה ברירת מחדל עונה על שאלה אחרת, והיא סוג התשובה הלא נכון לקורא שמנסה להבין ייחוס. היא גם מיותרת, כי הטיעון עומד בלי פרטים תפעוליים.
אם דוגמה זקוקה למתכון כדי להיות מעניינת, הדוגמה עושה את העבודה הלא נכונה.
בדיקה 5: נסחו את הממצא הצר יותר שאתם יכולים להגן עליו
ממצא שניתן להגן עליו נשמע כך: התיעוד ששרד מראה שההנחיה הייתה קיימת, שכמה מפעילים אספו יומני אימות, ושהתיק הספציפי לא הניב ראיות מספיקות לזיהוי אדם. זה צר יותר מאמירה שאיש לא התבונן, וזה שימושי יותר כי אפשר לבדוק אותו. ציינו גם מה היה משנה את התוצאה, כי היעדר הצלבה הוא כישלון שונה מהיעדר נתונים. ואז עצרו.
טענות רחבות על עשור שלם זקוקות לתיעוד מאותו עשור, לא לסיפור סביר על איך הדברים היו פעם.