Неуспешното припишување не докажува дека напаѓачот бил анонимен
Случај без именуван сторител покажува што можеле да утврдат доказите, а не дека анонимноста функционирала. Одвојте ги упатствата, нивното усвојување и неуспешното припишување.
Случај што завршува без именуван сторител обично се опишува како анонимен и тој збор врши многу тивка работа. Тој претвора тврдење за доказите во тврдење за светот. Двете не се исто, а кај постарите инциденти разликата често е единственото нешто што може да го поддржи запазениот запис. Инцидент без припишување ви кажува што можело да се утврди, а не што било возможно.
Пет проверки ги држат двете одвоени.
Проверка 1: одвојте ги упатствата од нивното усвојување
RFC 1281, објавен во ноември 1991 година, препорачуваше чување и ревизија на безбедносно релевантни записи, поддршка на следење на врски и именување безбедносен контакт за справување со инциденти. Тој, исто така, бараше од операторите да објават што собираат и кој може да го користи. Тоа е датиран запис за она што било препорачано, што е различно тврдење од она што го направила која било конкретна мрежа.
Препораката е доказ дека загриженоста постоела. Таа не е доказ за спроведување и сигурно не е доказ дека одредена истрага успеала.
Проверка 2: наведете која алка во припишувањето се скршила
Припишувањето е синџир и секоја алка откажува на свој начин: мрежно набљудување, сметката поврзана со него, контролата врз таа сметка во тоа време и доказите што ја поврзуваат таа контрола со личност. Посредничката адреса не е локација. Корисничкото име не е доказ за тоа кој пишувал на тастатурата. Евидентираната сесија не е доказ дека сопственикот на сметката бил присутен.
Запишете која алка недостасува пред да запишете заклучок.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Проверка 3: датирајте ги доказите што ги цитирате
Старите извештаи лошо го компресираат времето. Записите што никогаш не биле водени, записите што истекле според политика за чување, записите што постоеле но никогаш не биле корелирани меѓу организациите и истрагите што едноставно не биле продолжени, сите оставаат иста трага во современо резиме: ништо. Само првото е тврдење за техничка способност.
Претпочитајте датирани примарни документи наместо запаметени резимеа и цитирајте ја реченицата на која се потпирате.
Проверка 4: спротивставете се на искушението историјата да се претвори во каталог на техники
Историското прашање е што било видливо и што можело да се утврди од тоа. Список на изложени услуги и стандардни акредитиви одговара на друго прашање и тоа е погрешен вид одговор за читател што се обидува да го разбере припишувањето. Тоа е и непотребно, бидејќи аргументот стои и без оперативни детали.
Ако на примерот му треба рецепт за да биде интересен, примерот ја работи погрешната работа.
Проверка 5: наведете го потесното наоѓање што можете да го одбраните
Одбрано наоѓање звучи вака: запазениот запис покажува дека упатства постоеле, дека некои оператори собирале дневници за автентикација и дека конкретниот случај не дал доволно докази за идентификување на личност. Тоа е потесно од тврдењето дека никој не гледал и е покорисно бидејќи може да се провери. Запишете и што би го променило исходот, бидејќи недостатокот на корелација е различен неуспех од недостатокот на податоци. Потоа застанете.
Широките тврдења за цела деценија бараат записи од таа деценија, а не веродостојна приказна за тоа како порано стоеле работите.