帰属の失敗は攻撃者が匿名だったことを証明しない

犯人を特定できずに終わる事件は、しばしば匿名と表現されますが、その言葉は多くの静かな仕事をしています。それは証拠についての記述を世界についての記述に変えてしまいます。両者は同じではなく、古い事件では、その差が残された記録で裏づけられる唯一のことである場合が多いのです。帰属がなされなかった事件は、何が立証できたかを示すのであって、何が可能だったかを示すのではありません。

五つの確認が、その二つを切り離します。

確認 1: 指針をその採用から切り離す

1991年秋に公表された RFC 1281 は、セキュリティに関わる記録の保存と監査、接続の追跡の支援、インシデント対応のためのセキュリティ窓口の指名を勧告していました。また、何を収集し、誰がそれを使えるかを公表するよう運用者に求めていました。これは何が勧告されたかという日付のある記録であり、特定のネットワークが何をしたかとは別の主張です。

勧告は、懸念が存在したことの証拠です。実装の証拠ではなく、特定の調査が成功した証拠では決してありません。

確認 2: 帰属のどの環が切れたのかを名指しする

帰属は連鎖であり、それぞれの環は独自の仕方で破綻します。ネットワーク上の観測、それに結びつくアカウント、その時点でのそのアカウントの支配、そしてその支配を人に結びつける証拠です。中継アドレスは所在地ではない。ユーザー名は誰がキーボードを打ったかの証明ではありません。記録されたセッションは、アカウント所有者が同席していた証明ではありません。

結論を書く前に、どの環が欠けているかを書き留めます。

確認 3: 引用する証拠の日付を示す

古い報告は時間をひどく圧縮します。そもそも残されなかった記録、保存方針で期限切れになった記録、存在したが組織間で照合されなかった記録、単に追及されなかった調査は、どれも現代の要約では同じ痕跡を残します。何も残らないのです。技術的能力についての記述になるのは最初の一つだけです。

記憶された要約よりも日付のある一次資料を優先し、依拠する文を引用します。

確認 4: 歴史を技術のカタログに変える誘惑に抗う

歴史的な問いは、何が観察可能で、そこから何が立証できたかです。公開されたサービスと既定の認証情報の一覧は別の問いに答えるもので、帰属を理解しようとする読者には誤った種類の答えです。運用の詳細がなくても論は成り立つので、それは不要でもあります。

例が面白くなるのに手順書を必要とするなら、その例は間違った仕事をしています。

確認 5: 防御できるより狭い知見を述べる

防御可能な知見はこう書けます。残された記録は、指針が存在したこと、一部の運用者が認証ログを収集していたこと、そしてその特定の事件が人を特定するのに十分な証拠を生まなかったことを示しています。これは誰も見ていなかったという主張より狭く、検証できるのでより有用です。結果を変えたであろうものも記します。相関の欠如はデータの欠如とは別の失敗だからです。そして止めます。

一つの十年間全体についての広い主張には、その十年間の記録が必要であり、昔はどうだったかというもっともらしい物語では足りません。