Eng gescheitert Attributioun beweist net, datt den Ugräifer anonym war
En Dossier ouni genannten Täter weist, wat d'Beweiser konnte feststellen, net datt d'Anonymitéit funktionéiert huet. Trennt d'Leitlinn, hir Iwwernahm an de gescheiterten Attributioun.
En Dossier, deen ouni genannten Täter ophält, gëtt dacks als anonym beschriwwen, an dat Wuert mécht vill stille Aarbecht. Et verwandelt eng Ausso iwwer Beweiser an eng Ausso iwwer d'Welt. Béides ass net datselwecht, an bei eelere Virfäll ass den Ënnerscheed dacks dat eenzegt, wat den iwwerliewenden Opzeechnung droen kann. En net zougeuerdnete Virfall seet Iech, wat sech feststelle konnt, net wat méiglech war.
Fënnef Kontrollen halen déi zwee auserneen.
Kontroll 1: trennt d'Leitlinn vun hirer Iwwernahm
Den RFC 1281, deen am November 1991 publizéiert gouf, huet recommandéiert, sécherheetsrelevant Opzeechnungen ze halen an ze auditréieren, d'Verbindungsverfolgung ze ënnerstëtzen an e Sécherheetskontakt fir d'Behandlung vu Virfäll ze bestellen. Et huet och d'Betreiber gefrot, publizéieren, wat se sammelen an wien et benotze kann. Dat ass eng datéiert Opzeechnung vun deem, wat recommandéiert gouf, wat eng aner Ausso ass wéi déi, wat en ettlecht Netzwierk gemaach huet.
Eng Empfehlung ass e Beweis, datt d'Sueg bestanen huet. Et ass kee Beweis fir d'Ëmsetzung an natierlech kee Beweis, datt eng bestëmmt Enquête gelungen ass.
Kontroll 2: nennt, wéi ee Glidd an der Attributioun gebrach ass
Attributioun ass eng Kette, an all Glidd versot op seng Manéier: eng Netzwierkobservatioun, de Kont deen domat verbonnen ass, d'Kontroll iwwer dee Kont zu deem Zäitpunkt, an d'Beweiser, déi déi Kontroll mat enger Persoun verbannen. Eng Zwëschenadress ass keng Plaz. En Benotzernumm ass kee Beweis, wien op der Tastatur getippt huet. Eng opgezeechent Sessioun ass kee Beweis, datt de Kontbesëtzer dobäi war.
Schreift op, wéi ee Glidd feelt, ier Dir eng Konklusioun schreift.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontroll 3: datéiert d'Beweiser, déi Dir zitéiert
Al Berichter kompriméieren Zäit schlecht. Opzeechnungen, déi ni gehal goufen, Opzeechnungen, déi ënner enger Opbewahrungspolitik ofgelaf sinn, Opzeechnungen, déi existéiert hunn, awer ni tëscht Organisatiounen korreléiert goufen, an Enquêten, déi einfach net virugefouert goufen, hannerloossen alleguer déiselwecht Spuer an enger moderner Zesummefaassung: näischt. Nëmmen déi éischt ass eng Ausso iwwer technesch Fähegkeet.
Bevirzugt datéiert Primärdokumenter géintiwwer erënnerten Zesummefaassungen, a zitéiert de Saz, op deen Dir iech stëtzt.
Kontroll 4: widersetzt Iech der Versuchung, Geschicht an e Technikkatalog ze verwandelen
D'historesch Fro ass, wat observéierbar war a wat sech doraus feststelle konnt. Eng Lëscht vu exponéierte Servicer a Standardzougangsdaten beäntwert eng aner Fro, an et ass déi falsch Zort Äntwert fir e Lieser, dee versicht, d'Attributioun ze verstoen. Et ass och onnéideg, well d'Argument ouni operationell Detailer hält.
Wann e Beispill e Rezept brauch, fir interessant ze sinn, da mécht d'Beispill déi falsch Aarbecht.
Kontroll 5: formuléiert déi méi enk Constatatioun, déi Dir kënnt verdeedegen
Eng verdeedegbar Constatatioun liest sech esou: déi iwwerliewend Opzeechnung weist, datt d'Leitlinn existéiert huet, datt e puer Betreiber Authentifikatiounsprotokoller gesammelt hunn, an datt dee konkrete Fall keng Beweiser bruecht huet, déi duergeet, fir eng Persoun z'identifizéieren. Dat ass méi enk wéi datt keen nogekuckt huet, an et ass nëtzlecher, well et kann nogepréift ginn. Notéiert och, wat d'Resultat geännert hätt, well eng feelend Korrelatioun ass en anere Versoe wéi feelend Daten. Da stoppt.
Breet Aussoen iwwer eng ganz Joerzéngt brauchen Opzeechnungen aus där Joerzéngt, net eng plausibel Geschicht doriwwer, wéi d'Saachen fréier waren.