Neizdevusies attiecināšana nepierāda, ka uzbrucējs bija anonīms
Lieta bez nosaukta vainīgā parāda, ko pierādījumi varēja konstatēt, nevis to, ka anonimitāte darbojās. Nošķiriet norādes, to pārņemšanu un neizdevušos attiecināšanu.
Lieta, kas beidzas bez nosaukta vainīgā, bieži tiek raksturota kā anonīma, un šis vārds veic daudz klusa darba. Tas pārvērš apgalvojumu par pierādījumiem apgalvojumā par pasauli. Tie divi nav viens un tas pats, un vecākos notikumos atšķirība bieži ir vienīgais, ko saglabājušies ieraksti var pamatot. Notikums bez attiecināšanas pasaka, ko varēja konstatēt, nevis kas bija iespējams.
Piecas pārbaudes tur šos divus šķirtus.
Pārbaude 1: nošķiriet norādi no tās pārņemšanas
RFC 1281, kas publicēts 1991. gada novembrī, ieteica glabāt un auditēt ar drošību saistītus ierakstus, atbalstīt savienojumu izsekošanu un nozīmēt drošības kontaktpersonu incidentu apstrādei. Tas arī lūdza operatorus publicēt, ko viņi ievāc un kas to drīkst izmantot. Tas ir datēts ieraksts par to, kas tika ieteikts, un tas ir citāds apgalvojums nekā tas, ko darīja kāds konkrēts tīkls.
Ieteikums ir pierādījums, ka bažas pastāvēja. Tas nav ieviešanas pierādījums un noteikti nav pierādījums, ka konkrēta izmeklēšana bija veiksmīga.
Pārbaude 2: nosauciet, kurš posms attiecināšanā pārtrūka
Attiecināšana ir ķēde, un katrs posms neizdodas savā veidā: tīkla novērojums, ar to saistītais konts, kontrole pār šo kontu tajā laikā un pierādījumi, kas šo kontroli saista ar personu. Starpposma adrese nav atrašanās vieta. Lietotājvārds nav pierādījums, kas rakstīja uz tastatūras. Reģistrēta sesija nav pierādījums, ka konta īpašnieks bija klāt.
Pierakstiet, kura posma trūkst, pirms pierakstāt secinājumu.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Pārbaude 3: datējiet pierādījumus, uz kuriem atsaucaties
Vecie ziņojumi slikti saspiež laiku. Ieraksti, kas nekad netika uzturēti, ieraksti, kuru derīgums beidzās saskaņā ar glabāšanas politiku, ieraksti, kas pastāvēja, bet nekad netika korelēti starp organizācijām, un izmeklēšanas, kas vienkārši netika turpinātas, mūsdienu kopsavilkumā atstāj vienu un to pašu pēdu: neko. Tikai pirmais ir apgalvojums par tehniskajām iespējām.
Dodiet priekšroku datētiem primārajiem dokumentiem, nevis atcerētiem kopsavilkumiem, un citējiet teikumu, uz kuru paļaujaties.
Pārbaude 4: pretojieties kārdinājumam pārvērst vēsturi tehniku katalogā
Vēsturiskais jautājums ir, kas bija novērojams un ko no tā varēja konstatēt. Atvērtu pakalpojumu un noklusējuma akreditācijas datu saraksts atbild uz citu jautājumu, un tas ir nepareizs atbildes veids lasītājam, kurš cenšas saprast attiecināšanu. Tas arī nav nepieciešams, jo arguments pastāv bez operatīvām detaļām.
Ja piemēram ir vajadzīga recepte, lai tas būtu interesants, piemērs dara nepareizo darbu.
Pārbaude 5: formulējiet šaurāku atzinumu, ko varat aizstāvēt
Aizstāvams atzinums skan šādi: saglabājušies ieraksti parāda, ka norādes pastāvēja, ka daži operatori vāca autentifikācijas žurnālus un ka konkrētā lieta nesniedza pietiekamus pierādījumus personas identificēšanai. Tas ir šaurāk nekā apgalvojums, ka neviens neskatījās, un ir noderīgāk, jo to var pārbaudīt. Atzīmējiet arī, kas būtu mainījis iznākumu, jo trūkstoša korelācija ir citāda neveiksme nekā trūkstoši dati. Pēc tam apstājieties.
Plaši apgalvojumi par visu desmitgadi prasa tās desmitgades ierakstus, nevis ticamu stāstu par to, kā lietas kādreiz bija.