Mislykka attribusjon provar ikkje at angriparen var anonym
Ei sak utan namngjeven gjerningsperson viser kva prova kunne fastslå, ikkje at anonymitet verka. Skil rettleiing, bruk og mislykka attribusjon.
Ei sak som endar utan ein namngjeven gjerningsperson, vert ofte skildra som anonym, og det ordet gjer mykje stille arbeid. Det gjer om ei utsegn om prov til ei utsegn om verda. Dei to er ikkje det same, og for eldre hendingar er skilnaden ofte det einaste den bevarte registreringa kan støtte. Ei hending utan attribusjon fortel deg kva som kunne fastslåast, ikkje kva som var mogleg.
Fem kontrollar held dei to frå kvarandre.
Kontroll 1: skil rettleiinga frå bruken av ho
RFC 1281, gjeven ut i november 1991, tilrådde å ta vare på og revidere tryggleiksrelevante registreringar, støtte sporing av samband og peike ut ein tryggleikskontakt for handsaming av hendingar. Han bad òg operatørar om å publisere kva dei samla inn og kven som kunne bruke det. Det er ei datert registrering av kva som vart tilrådd, noko som er ei anna påstand enn kva eit bestemt nettverk gjorde.
Ei tilråding er prov for at uroa fanst. Det er ikkje prov for implementering, og absolutt ikkje prov for at ei bestemt etterforsking lukkast.
Kontroll 2: nemn kva lenkje i attribusjonen som braut
Attribusjon er ei kjede, og kvar lenkje sviktar på sin måte: ei nettverksobservasjon, kontoen som er knytt til han, kontrollen over den kontoen på det tidspunktet, og prova som knyter den kontrollen til ein person. Ei mellomliggjande adresse er ikkje ein stad. Eit brukarnamn er ikkje prov for kven som skreiv på tastaturet. Ei logga økt er ikkje prov for at kontoeigaren var til stades.
Skriv ned kva lenkje som manglar før du skriv ein konklusjon.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontroll 3: datér prova du viser til
Gamle rapportar komprimerer tid dårleg. Registreringar som aldri vart førte, registreringar som gjekk ut under ein oppbevaringspolicy, registreringar som fanst men aldri vart korrelerte mellom organisasjonar, og etterforskingar som rett og slett ikkje vart følgde opp, lèt alle same sporet etter seg i eit moderne samandrag: ingenting. Berre det første er ei utsegn om teknisk evne.
Føretrekk daterte primærdokument framfor hugsa samandrag, og siter setninga du byggjer på.
Kontroll 4: motstå freistinga til å gjere historia om til ein teknikkatalog
Det historiske spørsmålet er kva som var observerbart og kva som kunne fastslåast ut frå det. Ei liste over eksponerte tenester og standardpåloggingsdata svarar på eit anna spørsmål, og det er feil type svar for ein lesar som prøver å skjøne attribusjon. Det er òg unødvendig, fordi argumentet held utan operasjonelle detaljar.
Viss eit døme treng ei oppskrift for å vere interessant, gjer dømet den gale jobben.
Kontroll 5: angi det trongare funnet du kan forsvare
Eit forsvarleg funn lyder slik: den bevarte registreringa viser at rettleiing fanst, at nokre operatørar samla inn autentiseringsloggar, og at den konkrete saka ikkje gav prov nok til å identifisere ein person. Det er trongare enn at ingen såg på, og det er meir nyttig fordi det kan kontrollerast. Noter òg kva som ville ha endra utfallet, sidan manglande korrelasjon er ein annan svikt enn manglande data. Deretter stoppar du.
Breie påstandar om eit heilt tiår treng registreringar frå det tiåret, ikkje ei truverdig historie om korleis ting plar vere.