Atribusi yang gagal tidak membuktikan penyerang itu tanpa nama
Kes tanpa pesalah yang dinamakan menunjukkan apa yang boleh dibuktikan oleh bukti, bukan bahawa tanpa nama berkesan. Pisahkan panduan, penggunaannya dan kegagalan atribusi.
Kes yang berakhir tanpa pesalah yang dinamakan cenderung digambarkan sebagai tanpa nama, dan perkataan itu melakukan banyak kerja senyap. Ia menukar kenyataan tentang bukti menjadi kenyataan tentang dunia. Kedua-duanya tidak sama, dan bagi insiden lama perbezaannya selalunya satu-satunya perkara yang boleh disokong oleh rekod yang tinggal. Insiden yang tidak diatribusikan memberitahu anda apa yang boleh dibuktikan, bukan apa yang mungkin.
Lima semakan memisahkan kedua-duanya.
Semakan 1: pisahkan panduan daripada penggunaannya
RFC 1281, yang diterbitkan pada November 1991, mengesyorkan penyimpanan dan pengauditan rekod berkaitan keselamatan, sokongan untuk pengesanan sambungan, dan penamaan hubungan keselamatan untuk pengendalian insiden. Ia juga meminta pengendali menerbitkan apa yang mereka kumpulkan dan siapa yang boleh menggunakannya. Itu ialah rekod bertarikh tentang apa yang disyorkan, iaitu dakwaan yang berbeza daripada apa yang dilakukan oleh mana-mana rangkaian tertentu.
Syor ialah bukti bahawa kebimbangan itu wujud. Ia bukan bukti pelaksanaan, dan sama sekali bukan bukti bahawa siasatan tertentu berjaya.
Semakan 2: namakan pautan mana dalam atribusi yang putus
Atribusi ialah rantai, dan setiap pautan gagal dengan caranya sendiri: pemerhatian rangkaian, akaun yang berkaitan dengannya, kawalan ke atas akaun itu pada masa itu, dan bukti yang menghubungkan kawalan itu dengan seseorang. Alamat perantara bukan lokasi. Nama pengguna bukan bukti siapa yang menaip pada papan kekunci. Sesi yang direkodkan bukan bukti bahawa pemilik akaun hadir.
Tuliskan pautan mana yang hilang sebelum menuliskan kesimpulan.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Semakan 3: tarikhkan bukti yang anda petik
Laporan lama memampatkan masa dengan teruk. Rekod yang tidak pernah disimpan, rekod yang luput di bawah dasar penyimpanan, rekod yang wujud tetapi tidak pernah dikorelasikan antara organisasi, dan siasatan yang langsung tidak diteruskan semuanya meninggalkan jejak yang sama dalam ringkasan moden: tiada apa-apa. Hanya yang pertama ialah kenyataan tentang keupayaan teknikal.
Utamakan dokumen primer bertarikh berbanding ringkasan yang diingati, dan petik ayat yang anda bergantung padanya.
Semakan 4: tentang godaan menjadikan sejarah sebagai katalog teknik
Persoalan sejarah ialah apa yang boleh diperhatikan dan apa yang boleh dibuktikan daripadanya. Senarai perkhidmatan terdedah dan kelayakan lalai menjawab persoalan lain, dan ia adalah jenis jawapan yang salah bagi pembaca yang cuba memahami atribusi. Ia juga tidak perlu, kerana hujah itu bertahan tanpa perincian operasi.
Jika sesuatu contoh memerlukan resipi untuk menarik, contoh itu melakukan kerja yang salah.
Semakan 5: nyatakan penemuan yang lebih sempit yang boleh anda pertahankan
Penemuan yang boleh dipertahankan berbunyi seperti ini: rekod yang tinggal menunjukkan bahawa panduan wujud, bahawa sesetengah pengendali mengumpul log pengesahan, dan bahawa kes khusus itu tidak menghasilkan bukti yang cukup untuk mengenal pasti seseorang. Itu lebih sempit daripada tiada siapa yang memerhati, dan lebih berguna kerana ia boleh disemak. Catat juga apa yang akan mengubah hasilnya, kerana korelasi yang hilang ialah kegagalan yang berbeza daripada data yang hilang. Kemudian berhenti.
Dakwaan luas tentang satu dekad penuh memerlukan rekod daripada dekad itu, bukan cerita yang masuk akal tentang bagaimana keadaan pada masa lalu.