विफल एट्रिब्यूशन यह सिद्ध नहीं करता कि हमलावर अनाम था
बिना नामित अपराधी वाला मामला दिखाता है कि साक्ष्य क्या स्थापित कर सकते थे, यह नहीं कि अनामता काम कर गई। मार्गदर्शन, उसके अपनाने और विफल एट्रिब्यूशन को अलग रखें।
बिना नामित अपराधी के समाप्त होने वाले मामले को अक्सर अनाम कहा जाता है, और यह शब्द बहुत चुपचाप काम करता है। यह साक्ष्य के बारे में कथन को दुनिया के बारे में कथन में बदल देता है। दोनों एक नहीं हैं, और पुरानी घटनाओं में यह अंतर अक्सर वही एकमात्र चीज़ होती है जिसे बचा हुआ रिकॉर्ड संभाल सकता है। बिना एट्रिब्यूशन वाली घटना आपको बताती है कि क्या स्थापित किया जा सकता था, यह नहीं कि क्या संभव था।
पाँच जाँचें इन दोनों को अलग रखती हैं।
जाँच 1: मार्गदर्शन को उसके अपनाने से अलग करें
नवंबर 1991 में प्रकाशित RFC 1281 ने सुरक्षा-संबंधी रिकॉर्ड रखने और उनका ऑडिट करने, कनेक्शन ट्रेसिंग का समर्थन करने और घटना प्रबंधन के लिए सुरक्षा संपर्क नामित करने की सिफ़ारिश की थी। इसने ऑपरेटरों से यह भी कहा कि वे प्रकाशित करें कि वे क्या एकत्र करते हैं और कौन इसका उपयोग कर सकता है। यह इस बात का तारीख़ वाला रिकॉर्ड है कि क्या सिफ़ारिश की गई थी, जो किसी विशेष नेटवर्क ने क्या किया, उससे अलग दावा है।
सिफ़ारिश इस बात का साक्ष्य है कि चिंता मौजूद थी। यह कार्यान्वयन का साक्ष्य नहीं है, और निश्चित रूप से यह साक्ष्य नहीं है कि कोई विशेष जाँच सफल हुई।
जाँच 2: बताएं कि एट्रिब्यूशन की कौन-सी कड़ी टूटी
एट्रिब्यूशन एक श्रृंखला है, और हर कड़ी अपने तरीके से विफल होती है: नेटवर्क अवलोकन, उससे जुड़ा खाता, उस समय उस खाते पर नियंत्रण, और वह नियंत्रण किसी व्यक्ति से जोड़ने वाले साक्ष्य। मध्यस्थ पता कोई स्थान नहीं है। उपयोगकर्ता नाम इस बात का प्रमाण नहीं है कि कीबोर्ड पर किसने टाइप किया। दर्ज किया गया सत्र इस बात का प्रमाण नहीं है कि खाताधारक उपस्थित था।
निष्कर्ष लिखने से पहले लिखें कि कौन-सी कड़ी गायब है।
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
जाँच 3: जिन साक्ष्यों का आप हवाला देते हैं, उन्हें तारीख़ दें
पुरानी रिपोर्टें समय को बुरी तरह संकुचित करती हैं। जो रिकॉर्ड कभी रखे ही नहीं गए, जो प्रतिधारण नीति के तहत समाप्त हो गए, जो मौजूद थे पर संगठनों के बीच कभी सहसंबद्ध नहीं किए गए, और जिन जाँचों को बस आगे नहीं बढ़ाया गया—ये सभी आधुनिक सारांश में एक ही निशान छोड़ते हैं: कुछ नहीं। केवल पहला ही तकनीकी क्षमता के बारे में कथन है।
याद किए गए सारांशों की बजाय तारीख़ वाले प्राथमिक दस्तावेज़ों को प्राथमिकता दें, और जिस वाक्य पर आप निर्भर हैं उसे उद्धृत करें।
जाँच 4: इतिहास को तकनीकों की सूची बनाने के लोभ का विरोध करें
ऐतिहासिक प्रश्न यह है कि क्या अवलोकनीय था और उससे क्या स्थापित किया जा सकता था। खुली सेवाओं और डिफ़ॉल्ट क्रेडेंशियल की सूची किसी दूसरे प्रश्न का उत्तर देती है, और एट्रिब्यूशन समझने की कोशिश कर रहे पाठक के लिए यह गलत तरह का उत्तर है। यह अनावश्यक भी है, क्योंकि तर्क परिचालन विवरण के बिना भी टिकता है।
अगर किसी उदाहरण को दिलचस्प होने के लिए नुस्ख़े की ज़रूरत है, तो उदाहरण गलत काम कर रहा है।
जाँच 5: वह संकरा निष्कर्ष बताएं जिसका आप बचाव कर सकते हैं
एक बचाव योग्य निष्कर्ष ऐसा पढ़ा जाता है: बचा हुआ रिकॉर्ड दिखाता है कि मार्गदर्शन मौजूद था, कुछ ऑपरेटर प्रमाणीकरण लॉग एकत्र करते थे, और उस विशेष मामले ने किसी व्यक्ति की पहचान के लिए पर्याप्त साक्ष्य उत्पन्न नहीं किया। यह इस दावे से संकरा है कि कोई देख नहीं रहा था, और यह अधिक उपयोगी है क्योंकि इसकी जाँच की जा सकती है। यह भी लिखें कि परिणाम क्या बदल सकता था, क्योंकि सहसंबंध की कमी डेटा की कमी से अलग विफलता है। फिर रुकें।
पूरे दशक के बारे में व्यापक दावों के लिए उस दशक के रिकॉर्ड चाहिए, पहले चीज़ें कैसी थीं इसकी कोई विश्वसनीय कहानी नहीं।