A sikertelen attribúció nem bizonyítja, hogy a támadó anonim volt
Egy megnevezett elkövető nélküli eset azt mutatja, mit tudtak a bizonyítékok megállapítani, nem azt, hogy az anonimitás működött. Válassza szét az iránymutatást, annak átvételét és az attribúció kudarcát.
Az az eset, amely megnevezett elkövető nélkül ér véget, gyakran anonimként kerül leírásra, és ez a szó sok csendes munkát végez. A bizonyítékokról szóló állítást a világról szóló állítássá alakítja. A kettő nem ugyanaz, és régebbi eseményeknél a különbség gyakran az egyetlen dolog, amit a fennmaradt feljegyzés alá tud támasztani. Egy attribúció nélküli esemény azt mondja meg, mit lehetett megállapítani, nem azt, mi volt lehetséges.
Öt ellenőrzés tartja külön a kettőt.
1. ellenőrzés: válassza szét az iránymutatást annak átvételétől
Az 1991 novemberében kiadott RFC 1281 javasolta a biztonsági szempontból releváns feljegyzések megőrzését és ellenőrzését, a kapcsolatok nyomon követésének támogatását és egy biztonsági kapcsolattartó kijelölését az események kezelésére. Arra is kérte az üzemeltetőket, hogy tegyék közzé, mit gyűjtenek, és ki használhatja azt. Ez egy dátumozott feljegyzés arról, mit javasoltak, ami más állítás, mint hogy egy adott hálózat mit tett.
Egy ajánlás bizonyítéka annak, hogy az aggodalom létezett. Nem bizonyítéka a megvalósításnak, és természetesen nem bizonyítéka annak, hogy egy adott vizsgálat sikerrel járt.
2. ellenőrzés: nevezze meg, melyik láncszem szakadt el az attribúcióban
Az attribúció lánc, és minden láncszem a maga módján hibázik: egy hálózati megfigyelés, a hozzá tartozó fiók, a fiók feletti ellenőrzés abban az időben, és a bizonyítékok, amelyek ezt az ellenőrzést egy személyhez kötik. A közvetítő cím nem helyszín. A felhasználónév nem bizonyítja, ki gépelte be a szöveget. A naplózott munkamenet nem bizonyítja, hogy a fiók tulajdonosa jelen volt.
Írja le, melyik láncszem hiányzik, mielőtt következtetést ír le.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
3. ellenőrzés: dátumozza a hivatkozott bizonyítékokat
A régi jelentések rosszul tömörítik az időt. A soha nem vezetett feljegyzések, a megőrzési szabályzat miatt lejárt feljegyzések, a létező, de szervezetek között soha nem korrelált feljegyzések és az egyszerűen nem folytatott vizsgálatok mind ugyanazt a nyomot hagyják egy modern összefoglalóban: semmit. Csak az első állítás a technikai képességről.
Részesítse előnyben a dátumozott elsődleges dokumentumokat az emlékezetből idézett összefoglalókkal szemben, és idézze a mondatot, amelyre támaszkodik.
4. ellenőrzés: álljon ellen a történelem technikakatalógussá alakításának
A történelmi kérdés az, mi volt megfigyelhető, és abból mi volt megállapítható. A nyitott szolgáltatások és alapértelmezett hitelesítő adatok listája más kérdésre válaszol, és rossz típusú válasz egy olyan olvasónak, aki meg akarja érteni az attribúciót. Szükségtelen is, mert az érv működési részletek nélkül is megáll.
Ha egy példának receptre van szüksége ahhoz, hogy érdekes legyen, akkor a példa rossz munkát végez.
5. ellenőrzés: fogalmazza meg a szűkebb megállapítást, amelyet meg tud védeni
Egy védhető megállapítás így hangzik: a fennmaradt feljegyzés azt mutatja, hogy létezett iránymutatás, hogy egyes üzemeltetők hitelesítési naplókat gyűjtöttek, és hogy az adott eset nem termelt elég bizonyítékot egy személy azonosításához. Ez szűkebb annál, minthogy senki sem figyelt, és hasznosabb, mert ellenőrizhető. Jegyezze fel azt is, mi változtatta volna meg az eredményt, mert a hiányzó korreláció más kudarc, mint a hiányzó adat. Aztán álljon meg.
Egy egész évtizedre vonatkozó széles állításokhoz az abból az évtizedből származó feljegyzések kellenek, nem egy hihető történet arról, hogyan szoktak lenni a dolgok.