Atribusi yang gagal tidak membuktikan bahwa penyerang itu anonim
Kasus tanpa pelaku yang disebut namanya menunjukkan apa yang bisa dibuktikan bukti, bukan bahwa anonimitas berhasil. Pisahkan panduan, adopsinya, dan kegagalan atribusi.
Kasus yang berakhir tanpa pelaku yang disebut namanya cenderung digambarkan sebagai anonim, dan kata itu melakukan banyak kerja diam. Kata itu mengubah pernyataan tentang bukti menjadi pernyataan tentang dunia. Keduanya tidak sama, dan pada insiden lama perbedaannya sering menjadi satu-satunya hal yang dapat didukung catatan yang bertahan. Insiden tanpa atribusi memberi tahu Anda apa yang bisa dibuktikan, bukan apa yang mungkin.
Lima pemeriksaan menjaga keduanya tetap terpisah.
Pemeriksaan 1: pisahkan panduan dari adopsinya
RFC 1281, yang diterbitkan pada November 1991, merekomendasikan penyimpanan dan audit catatan yang relevan dengan keamanan, dukungan pelacakan koneksi, dan penunjukan kontak keamanan untuk penanganan insiden. Dokumen itu juga meminta operator memublikasikan apa yang mereka kumpulkan dan siapa yang boleh menggunakannya. Itu adalah catatan bertanggal tentang apa yang direkomendasikan, yang merupakan klaim berbeda dari apa yang dilakukan jaringan tertentu.
Rekomendasi adalah bukti bahwa kekhawatiran itu ada. Itu bukan bukti penerapan, dan tentu bukan bukti bahwa penyelidikan tertentu berhasil.
Pemeriksaan 2: sebutkan mata rantai mana dalam atribusi yang putus
Atribusi adalah rantai, dan setiap mata rantai gagal dengan caranya sendiri: pengamatan jaringan, akun yang terkait dengannya, kendali atas akun itu pada saat itu, dan bukti yang menghubungkan kendali itu dengan seseorang. Alamat perantara bukan lokasi. Nama pengguna bukan bukti siapa yang mengetik di papan ketik. Sesi yang tercatat bukan bukti bahwa pemilik akun hadir.
Tuliskan mata rantai mana yang hilang sebelum menuliskan kesimpulan.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Pemeriksaan 3: beri tanggal pada bukti yang Anda kutip
Laporan lama memampatkan waktu dengan buruk. Catatan yang tidak pernah disimpan, catatan yang kedaluwarsa karena kebijakan penyimpanan, catatan yang ada tetapi tidak pernah dikorelasikan antarkorganisasi, dan penyelidikan yang sekadar tidak dilanjutkan semuanya meninggalkan jejak yang sama dalam ringkasan modern: tidak ada. Hanya yang pertama merupakan pernyataan tentang kemampuan teknis.
Utamakan dokumen primer bertanggal daripada ringkasan yang diingat, dan kutip kalimat yang Anda andalkan.
Pemeriksaan 4: tolak godaan mengubah sejarah menjadi katalog teknik
Pertanyaan sejarahnya adalah apa yang dapat diamati dan apa yang dapat dibuktikan darinya. Daftar layanan yang terbuka dan kredensial bawaan menjawab pertanyaan lain, dan itu jenis jawaban yang salah bagi pembaca yang mencoba memahami atribusi. Itu juga tidak perlu, karena argumennya bertahan tanpa detail operasional.
Jika sebuah contoh perlu resep agar menarik, contoh itu melakukan pekerjaan yang salah.
Pemeriksaan 5: nyatakan temuan yang lebih sempit yang dapat Anda pertahankan
Temuan yang dapat dipertahankan berbunyi seperti ini: catatan yang bertahan menunjukkan bahwa panduan itu ada, bahwa beberapa operator mengumpulkan log autentikasi, dan bahwa kasus khusus itu tidak menghasilkan bukti yang cukup untuk mengidentifikasi seseorang. Itu lebih sempit daripada tidak ada yang mengawasi, dan lebih berguna karena dapat diperiksa. Catat juga apa yang akan mengubah hasilnya, karena korelasi yang hilang adalah kegagalan yang berbeda dari data yang hilang. Lalu berhenti.
Klaim luas tentang satu dekade penuh membutuhkan catatan dari dekade itu, bukan cerita yang masuk akal tentang bagaimana keadaan dulu.