귀속 실패는 공격자가 익명이었다는 것을 증명하지 않는다

이름이 밝혀지지 않은 가해자로 끝나는 사건은 흔히 익명이라고 묘사되며, 그 단어는 조용히 많은 일을 합니다. 그것은 증거에 관한 진술을 세계에 관한 진술로 바꿉니다. 둘은 같지 않으며, 오래된 사건에서는 그 차이가 남은 기록이 뒷받침할 수 있는 유일한 것인 경우가 많습니다. 귀속되지 않은 사건은 무엇이 입증될 수 있었는지를 알려 줄 뿐, 무엇이 가능했는지를 알려 주지 않습니다.

다섯 가지 확인이 그 둘을 분리합니다.

확인 1: 지침을 그 채택과 분리하라

1991년 늦가을에 발표된 RFC 1281은 보안과 관련된 기록을 보관하고 감사하며, 연결 추적을 지원하고, 사건 대응을 위한 보안 연락책을 지정할 것을 권고했습니다. 또한 운영자에게 무엇을 수집하고 누가 그것을 사용할 수 있는지 공개할 것을 요청했습니다. 그것은 무엇이 권고되었는지에 대한 날짜가 있는 기록이며, 특정 네트워크가 무엇을 했는지와는 다른 주장입니다.

권고는 그 우려가 존재했다는 증거입니다. 그것은 구현의 증거가 아니며, 특정 조사가 성공했다는 증거는 결코 아닙니다.

확인 2: 귀속에서 어느 고리가 끊어졌는지 밝혀라

귀속은 사슬이며, 각 고리는 저마다의 방식으로 실패합니다. 네트워크 관측, 그것과 연결된 계정, 그 시점의 그 계정에 대한 통제, 그리고 그 통제를 한 사람과 연결하는 증거입니다. 중간 주소는 위치가 아니다. 사용자 이름은 누가 키보드를 쳤는지에 대한 증거가 아닙니다. 기록된 세션은 계정 소유자가 참석했다는 증거가 아닙니다.

결론을 적기 전에 어느 고리가 빠졌는지 적으십시오.

확인 3: 인용하는 증거에 날짜를 붙여라

오래된 보고서는 시간을 심하게 압축합니다. 애초에 남기지 않은 기록, 보존 정책에 따라 만료된 기록, 존재했지만 조직 간에 한 번도 대조되지 않은 기록, 그저 추적되지 않은 조사는 모두 현대의 요약에서 같은 흔적을 남깁니다. 아무것도 남지 않습니다. 기술적 역량에 관한 진술이 되는 것은 첫 번째뿐입니다.

기억된 요약보다 날짜가 있는 원본 문서를 선호하고, 의존하는 문장을 인용하십시오.

확인 4: 역사를 기법 목록으로 바꾸려는 유혹에 저항하라

역사적 질문은 무엇이 관찰 가능했고 그로부터 무엇이 입증될 수 있었는가입니다. 노출된 서비스와 기본 자격 증명의 목록은 다른 질문에 답하며, 귀속을 이해하려는 독자에게는 잘못된 종류의 답입니다. 운영 세부 사항 없이도 논증이 성립하므로 그것은 불필요하기도 합니다.

어떤 예시가 흥미로워지기 위해 조리법이 필요하다면, 그 예시는 잘못된 일을 하고 있는 것입니다.

확인 5: 변호할 수 있는 더 좁은 발견을 진술하라

변호 가능한 발견은 이렇게 읽힙니다. 남은 기록은 지침이 존재했고, 일부 운영자가 인증 로그를 수집했으며, 그 특정 사건이 한 사람을 식별하기에 충분한 증거를 만들어 내지 못했음을 보여 줍니다. 이것은 아무도 지켜보지 않았다는 주장보다 좁고, 검증할 수 있기 때문에 더 유용합니다. 결과를 바꿀 수 있었던 것도 적으십시오. 상관관계의 부재는 데이터의 부재와 다른 실패이기 때문입니다. 그런 다음 멈추십시오.

십 년 전체에 대한 광범위한 주장에는 그 십 년의 기록이 필요하며, 예전에 사정이 어떠했다는 그럴듯한 이야기로는 충분하지 않습니다.