Een mislukte attributie bewijst niet dat de aanvaller anoniem was
Een zaak zonder genoemde dader laat zien wat het bewijs kon vaststellen, niet dat anonimiteit werkte. Scheid de richtlijn, de toepassing ervan en de mislukte attributie.
Een zaak die eindigt zonder genoemde dader wordt vaak als anoniem beschreven, en dat woord doet veel stil werk. Het verandert een uitspraak over bewijs in een uitspraak over de wereld. Die twee zijn niet hetzelfde, en bij oudere incidenten is het verschil vaak het enige dat het overgebleven dossier kan ondersteunen. Een niet-toegeschreven incident vertelt je wat kon worden vastgesteld, niet wat mogelijk was.
Vijf controles houden die twee uit elkaar.
Controle 1: scheid de richtlijn van de toepassing ervan
RFC 1281, gepubliceerd in november 1991, beval aan om beveiligingsrelevante registraties te bewaren en te auditen, verbindingstracering te ondersteunen en een beveiligingscontact voor incidentafhandeling aan te wijzen. Hij vroeg operators ook te publiceren wat zij verzamelden en wie het mocht gebruiken. Dat is een gedateerd verslag van wat werd aanbevolen, wat een andere bewering is dan wat een bepaald netwerk deed.
Een aanbeveling is bewijs dat de zorg bestond. Het is geen bewijs van implementatie, en zeker geen bewijs dat een specifiek onderzoek slaagde.
Controle 2: benoem welke schakel in de attributie brak
Attributie is een keten, en elke schakel faalt op zijn eigen manier: een netwerkobservatie, het account dat daarmee samenhangt, de controle over dat account op dat moment, en het bewijs dat die controle met een persoon verbindt. Een tussenadres is geen locatie. Een gebruikersnaam is geen bewijs van wie er op het toetsenbord typte. Een vastgelegde sessie is geen bewijs dat de accounthouder aanwezig was.
Schrijf op welke schakel ontbreekt voordat je een conclusie opschrijft.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Controle 3: dateer het bewijs dat je aanhaalt
Oude rapporten comprimeren tijd slecht. Registraties die nooit werden bijgehouden, registraties die onder een bewaarbeleid verliepen, registraties die bestonden maar nooit tussen organisaties werden gecorreleerd, en onderzoeken die simpelweg niet werden voortgezet laten allemaal hetzelfde spoor na in een moderne samenvatting: niets. Alleen het eerste is een uitspraak over technisch vermogen.
Geef de voorkeur aan gedateerde primaire documenten boven herinnerde samenvattingen, en citeer de zin waarop je je baseert.
Controle 4: weersta de verleiding om geschiedenis in een techniekcatalogus te veranderen
De historische vraag is wat waarneembaar was en wat daaruit kon worden vastgesteld. Een lijst van blootgestelde diensten en standaardreferenties beantwoordt een andere vraag, en het is het verkeerde soort antwoord voor een lezer die attributie probeert te begrijpen. Het is ook onnodig, omdat het argument zonder operationele details standhoudt.
Als een voorbeeld een recept nodig heeft om interessant te zijn, doet het voorbeeld het verkeerde werk.
Controle 5: formuleer de engere bevinding die je kunt verdedigen
Een verdedigbare bevinding luidt zo: het overgebleven dossier laat zien dat er richtlijnen bestonden, dat sommige operators authenticatielogs verzamelden en dat de specifieke zaak geen bewijs opleverde dat voldoende was om een persoon te identificeren. Dat is enger dan dat niemand keek, en het is nuttiger omdat het controleerbaar is. Noteer ook wat de uitkomst zou hebben veranderd, want ontbrekende correlatie is een ander falen dan ontbrekende gegevens. Stop dan.
Brede beweringen over een heel decennium vereisen registraties uit dat decennium, niet een plausibel verhaal over hoe het vroeger was.