Nepavykęs priskyrimas neįrodo, kad užpuolikas buvo anonimiškas
Byla be įvardyto kaltininko parodo, ką galėjo nustatyti įrodymai, o ne tai, kad anonimiškumas suveikė. Atskirkite rekomendacijas, jų priėmimą ir nepavykusį priskyrimą.
Byla, pasibaigianti be įvardyto kaltininko, paprastai apibūdinama kaip anoniminė, ir tas žodis atlieka daug tylos darbo. Jis paverčia teiginį apie įrodymus teiginiu apie pasaulį. Tai ne tas pats, o senesnių incidentų atveju skirtumas dažnai yra vienintelis dalykas, kurį išlikęs įrašas gali pagrįsti. Nepriskirtas incidentas pasako, ką buvo galima nustatyti, o ne kas buvo įmanoma.
Penki patikrinimai laiko šiuos du dalykus atskirai.
Patikrinimas 1: atskirkite rekomendaciją nuo jos priėmimo
1991 m. lapkritį paskelbtas RFC 1281 rekomendavo saugoti ir audituoti su sauga susijusius įrašus, remti ryšių sekimą ir paskirti saugos kontaktą incidentams tvarkyti. Jis taip pat prašė operatorių skelbti, ką jie renka ir kas gali tuo naudotis. Tai datuotas įrašas apie tai, kas buvo rekomenduota, o tai yra kitoks teiginys nei tai, ką padarė koks nors konkretus tinklas.
Rekomendacija yra įrodymas, kad susirūpinimas egzistavo. Tai ne įgyvendinimo įrodymas ir tikrai ne įrodymas, kad konkretus tyrimas pavyko.
Patikrinimas 2: įvardykite, kuri priskyrimo grandis nutrūko
Priskyrimas yra grandinė, ir kiekviena grandis nepavyksta savaip: tinklo stebėjimas, su juo susijusi paskyra, tos paskyros kontrolė tuo metu ir įrodymai, susiejantys tą kontrolę su asmeniu. Tarpinis adresas nėra vieta. Naudotojo vardas neįrodo, kas rašė klaviatūra. Užregistruota sesija neįrodo, kad paskyros savininkas buvo šalia.
Užrašykite, kurios grandies trūksta, prieš užrašydami išvadą.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Patikrinimas 3: datuokite įrodymus, kuriais remiatės
Senos ataskaitos blogai suspaudžia laiką. Įrašai, kurių niekada nebuvo vedami, įrašai, kurių galiojimas baigėsi pagal saugojimo politiką, įrašai, kurie egzistavo, bet niekada nebuvo koreliuoti tarp organizacijų, ir tyrimai, kurių tiesiog nebuvo tęsiami, šiuolaikinėje santraukoje palieka tą patį pėdsaką: nieko. Tik pirmasis yra teiginys apie techninius pajėgumus.
Teikite pirmenybę datuotiems pirminiams dokumentams, o ne atsimenamoms santraukoms, ir cituokite sakinį, kuriuo remiatės.
Patikrinimas 4: atsispirkite pagundai istoriją paversti technikų katalogu
Istorinis klausimas yra tai, kas buvo stebima ir ką iš to buvo galima nustatyti. Atvirų paslaugų ir numatytųjų prisijungimo duomenų sąrašas atsako į kitą klausimą, ir tai yra netinkama atsakymo rūšis skaitytojui, kuris bando suprasti priskyrimą. Tai taip pat nereikalinga, nes argumentas išsilaiko be operacinių detalių.
Jei pavyzdžiui reikia recepto, kad būtų įdomus, pavyzdys atlieka ne tą darbą.
Patikrinimas 5: suformuluokite siauresnę išvadą, kurią galite apginti
Apginti įmanoma išvada skamba taip: išlikęs įrašas rodo, kad rekomendacijos egzistavo, kad kai kurie operatoriai rinko autentifikavimo žurnalus ir kad konkreti byla nesuteikė pakankamai įrodymų asmeniui identifikuoti. Tai siauriau nei teiginys, kad niekas nestebėjo, ir naudingiau, nes tai galima patikrinti. Pažymėkite ir tai, kas būtų pakeitę rezultatą, nes trūkstama koreliacija yra kitokia nesėkmė nei trūkstami duomenys. Tada sustokite.
Platūs teiginiai apie visą dešimtmetį reikalauja to dešimtmečio įrašų, o ne tikėtinos istorijos apie tai, kaip viskas buvo anksčiau.