Сәтсіз атрибуция шабуылдаушының анонимді болғанын дәлелдемейді
Аты аталмаған қылмыскері бар іс дәлелдердің нені анықтай алғанын көрсетеді, анонимдіктің жұмыс істегенін емес. Нұсқаулықты, оның қолданылуын және сәтсіз атрибуцияны ажыратыңыз.
Аты аталмаған қылмыскермен аяқталатын іс әдетте анонимді деп сипатталады және бұл сөз көп тыныш жұмыс атқарады. Ол дәлелдер туралы тұжырымды әлем туралы тұжырымға айналдырады. Екеуі бір емес, ал ескі оқиғаларда айырмашылық көбінесе сақталған жазбаның қолдай алатын жалғыз нәрсесі болады. Атрибуцияланбаған оқиға сізге нені анықтауға болатынын айтады, ненің мүмкін болғанын емес.
Бес тексеру осы екеуін бөлек ұстайды.
Тексеру 1: нұсқаулықты оның қолданылуынан ажыратыңыз
1991 жылдың қарашасында жарияланған RFC 1281 қауіпсіздікке қатысты жазбаларды сақтау мен аудиттеуді, байланыстарды бақылауды қолдауды және оқиғаларды өңдеу үшін қауіпсіздік байланысын тағайындауды ұсынды. Ол сондай-ақ операторлардан не жинайтынын және оны кім пайдалана алатынын жариялауды сұрады. Бұл ұсынылған нәрсенің күні бар жазбасы, ал бұл нақты желінің не істегенінен өзгеше тұжырым.
Ұсыным алаңдаушылықтың болғанына дәлел. Ол іске асырылғанына дәлел емес және нақты тергеудің сәтті болғанына әсте дәлел емес.
Тексеру 2: атрибуцияның қай буыны үзілгенін атаңыз
Атрибуция — тізбек, және әр буын өзінше сәтсіздікке ұшырайды: желілік бақылау, онымен байланысты тіркелгі, сол сәттегі сол тіркелгіге бақылау және сол бақылауды адамға байланыстыратын дәлелдер. Аралық мекенжай — орын емес. Пайдаланушы аты пернетақтада кім тергенін дәлелдемейді. Тіркелген сессия тіркелгі иесінің қатысқанын дәлелдемейді.
Қорытынды жазбас бұрын қай буын жетіспейтінін жазыңыз.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Тексеру 3: сілтеме жасаған дәлелдеріңізге күн қойыңыз
Ескі есептер уақытты нашар сығады. Ешқашан жүргізілмеген жазбалар, сақтау саясаты бойынша мерзімі біткен жазбалар, болған, бірақ ұйымдар арасында ешқашан салыстырылмаған жазбалар және жай ғана жалғастырылмаған тергеулер қазіргі заманғы қорытындыда бірдей із қалдырады: ештеңе. Тек біріншісі ғана техникалық мүмкіндік туралы тұжырым.
Есте қалған қорытындылардан гөрі күні бар бастапқы құжаттарды артық көріңіз және сүйенетін сөйлемді дәйексөз етіңіз.
Тексеру 4: тарихты техникалар каталогына айналдыру азғыруына қарсы тұрыңыз
Тарихи сұрақ — нені байқауға болатыны және одан нені анықтауға болатыны. Ашық қызметтер мен әдепкі тіркелгі деректерінің тізімі басқа сұраққа жауап береді және атрибуцияны түсінуге тырысқан оқырман үшін бұл дұрыс емес жауап түрі. Бұл сондай-ақ артық, өйткені дәлел операциялық егжей-тегжейсіз де тұрады.
Егер мысал қызықты болу үшін рецепт қажет етсе, мысал дұрыс емес жұмыс істеп тұр.
Тексеру 5: өзіңіз қорғай алатын тар қорытындыны айтыңыз
Қорғауға болатын қорытынды былай оқылады: сақталған жазба нұсқаулықтың болғанын, кейбір операторлардың аутентификация журналдарын жинағанын және нақты істің адамды сәйкестендіруге жеткілікті дәлел келтірмегенін көрсетеді. Бұл ешкім бақыламады дегеннен тар және пайдалырақ, өйткені оны тексеруге болады. Нәтижені ненің өзгертетінін де жазыңыз, өйткені корреляцияның жоқтығы деректердің жоқтығынан өзгеше сәтсіздік. Содан кейін тоқтаңыз.
Бүкіл онжылдық туралы кең тұжырымдар сол онжылдықтың жазбаларын қажет етеді, бұрын істер қалай болғаны туралы сенімді әңгімені емес.