Холбох үйлдэл бүтэлгүйтсэн нь халдагч нэргүй байсан гэдгийг батлахгүй
Нэр заагаагүй гэмт хэрэгтэнтэй хэрэг нь нотлох баримт юуг тогтоож чадахыг харуулдаг, нэргүй байдал ажилласан гэдгийг биш. Удирдамж, түүний хэрэглээ, бүтэлгүй холболтыг тусгаарлаарай.
Нэр заагаагүй гэмт хэрэгтэнтэйгээр дуусдаг хэргийг ихэвчлэн нэргүй гэж дүрсэлдэг бөгөөд тэр үг маш их чимээгүй ажил хийдэг. Энэ нь нотлох баримтын тухай мэдэгдлийг ертөнцийн тухай мэдэгдэл болгоно. Хоёр нь ижил биш бөгөөд хуучин тохиолдлуудад ялгаа нь ихэвчлэн үлдсэн бичлэг дэмжиж чадах цорын ганц зүйл юм. Холбоогүй тохиолдол танд юуг тогтоож болохыг хэлдэг, юу боломжтой байсныг биш.
Таван шалгалт тэр хоёрыг тусгаарладаг.
Шалгалт 1: удирдамжийг түүний хэрэглээнээс тусгаарлаарай
1991 оны арван нэгдүгээр сард нийтлэгдсэн RFC 1281 нь аюулгүй байдалтай холбоотой бичлэгийг хадгалах, аудит хийх, холболт хянахыг дэмжих, тохиолдол шийдвэрлэх аюулгүй байдлын холбоо томилохыг зөвлөсөн. Мөн операторуудад юу цуглуулж, хэн ашиглаж болохыг нийтлэхийг хүссэн. Энэ нь зөвлөсөн зүйлийн огноотой бичлэг бөгөөд энэ нь тодорхой сүлжээ юу хийснээс өөр мэдэгдэл юм.
Зөвлөмж нь санаа зовнил байсан гэдгийн нотолгоо. Энэ нь хэрэгжүүлсний нотолгоо биш бөгөөд тодорхой мөрдөн байцаалт амжилттай болсон гэдгийн нотолгоо огт биш.
Шалгалт 2: холболтын аль холбоос тасарсныг нэрлээрэй
Холболт бол гинжин хэлхээ бөгөөд холбоос бүр өөрийн замаар бүтэлгүйтдэг: сүлжээний ажиглалт, түүнтэй холбоотой бүртгэл, тухайн үед тэр бүртгэлийг хянах, тэр хяналтыг хүнтэй холбосон нотлох баримт. Зуучлагч хаяг бол байршил биш. Хэрэглэгчийн нэр нь гарын самбарт хэн бичсэнийг батлахгүй. Бичигдсэн сесс нь бүртгэл эзэмшигч оролцсон гэдгийг батлахгүй.
Дүгнэлт бичихээс өмнө аль холбоос дутуу байгааг бичээрэй.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Шалгалт 3: таны иш татсан нотлох баримтад огноо тавь
Хуучин тайлангууд цагийг муу шахаж гаргадаг. Хэзээ ч хөтлөөгүй бичлэг, хадгалалтын бодлогоор хугацаа дууссан бичлэг, байсан боловч байгууллагуудын хооронд хэзээ ч харьцуулаагүй бичлэг, зүгээр л үргэлжлүүлээгүй мөрдөн байцаалт бүгд орчин үеийн хураангуйд ижил ул мөр үлдээдэг: юу ч биш. Зөвхөн эхнийх нь техникийн чадварын тухай мэдэгдэл.
Санаанд үлдсэн хураангуйгаас илүү огноотой анхдагч баримт бичгийг эрхэмлэж, тулгуурлаж буй өгүүлбэрээ иш тат.
Шалгалт 4: түүхийг техникийн каталог болгох уруу таталтад эсэргүүц
Түүхийн асуулт бол юу ажиглаж болох, түүнээс юуг тогтоож болох байсан юм. Илэрхий үйлчилгээ, анхдагч итгэмжлэлийн жагсаалт өөр асуултад хариулдаг бөгөөд холболтыг ойлгохыг хичээж буй уншигчид энэ нь буруу төрлийн хариулт юм. Үүнээс гадна ажиллагааны дэлгэрэнгүй мэдээлэлгүйгээр үндэслэл зогсдог тул шаардлагагүй.
Жишээ сонирхолтой болохын тулд жор хэрэгтэй бол жишээ нь буруу ажил хийж байна.
Шалгалт 5: өөрөө хамгаалж чадах илүү нарийн дүгнэлтийг хэл
Хамгаалж болох дүгнэлт ингэж уншигдана: үлдсэн бичлэг нь удирдамж байсан, зарим оператор баталгаажуулалтын лог цуглуулдаг байсан, тэр тодорхой хэрэг хүнийг таних хангалттай нотолгоо гаргаагүйг харуулж байна. Энэ нь хэн ч ажиглаагүй гэдгээс нарийн бөгөөд шалгаж болдог тул илүү ашигтай. Үр дүнг юу өөрчлөх байсныг ч тэмдэглээрэй, учир нь хамаарлын дутагдал нь өгөгдлийн дутагдлаас өөр бүтэлгүйтэл юм. Дараа нь зогсоорой.
Бүхэл арван жилийн тухай өргөн мэдэгдэлд тэр арван жилийн бичлэг хэрэгтэй, өмнө нь юу байсан тухай үнэмшилтэй түүх биш.