Mislykket attribusjon beviser ikke at angriperen var anonym
En sak uten navngitt gjerningsperson viser hva bevisene kunne fastslå, ikke at anonymitet virket. Skill veiledning, anvendelse og mislykket attribusjon.
En sak som ender uten en navngitt gjerningsperson, blir ofte beskrevet som anonym, og det ordet gjør mye stille arbeid. Det forvandler en uttalelse om bevis til en uttalelse om verden. De to er ikke det samme, og for eldre hendelser er forskjellen ofte det eneste den bevarte registreringen kan understøtte. En hendelse uten attribusjon forteller deg hva som kunne fastslås, ikke hva som var mulig.
Fem kontroller holder de to fra hverandre.
Kontroll 1: skill veiledningen fra dens anvendelse
RFC 1281, utgitt i november 1991, anbefalte å oppbevare og revidere sikkerhetsrelevante registreringer, støtte sporing av forbindelser og utpeke en sikkerhetskontakt for håndtering av hendelser. Den ba også operatører om å publisere hva de samlet inn og hvem som kunne bruke det. Det er en datert registrering av hva som ble anbefalt, noe som er en annen påstand enn hva et bestemt nettverk gjorde.
En anbefaling er bevis for at bekymringen fantes. Det er ikke bevis for implementering, og absolutt ikke bevis for at en bestemt etterforskning lyktes.
Kontroll 2: navngi hvilken lenke i attribusjonen som brast
Attribusjon er en kjede, og hver lenke svikter på sin måte: en nettverksobservasjon, kontoen som er knyttet til den, kontrollen over den kontoen på det tidspunktet, og bevisene som knytter den kontrollen til en person. En mellomliggende adresse er ikke en plassering. Et brukernavn er ikke bevis for hvem som skrev på tastaturet. En logget økt er ikke bevis for at kontoeieren var til stede.
Skriv ned hvilken lenke som mangler før du skriver en konklusjon.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontroll 3: datér bevisene du viser til
Gamle rapporter komprimerer tid dårlig. Registreringer som aldri ble ført, registreringer som utløp under en oppbevaringspolicy, registreringer som fantes men aldri ble korrelert mellom organisasjoner, og etterforskninger som rett og slett ikke ble fulgt opp, etterlater alle samme spor i et moderne sammendrag: ingenting. Bare det første er en uttalelse om teknisk evne.
Foretrekk daterte primærdokumenter fremfor huskede sammendrag, og siter setningen du bygger på.
Kontroll 4: motstå fristelsen til å gjøre historien om til en teknikkatalog
Det historiske spørsmålet er hva som var observerbart og hva som kunne fastslås ut fra det. En liste over eksponerte tjenester og standardpåloggingsdata svarer på et annet spørsmål, og det er feil type svar for en leser som prøver å forstå attribusjon. Det er også unødvendig, fordi argumentet holder uten operasjonelle detaljer.
Hvis et eksempel trenger en oppskrift for å være interessant, gjør eksempelet den gale jobben.
Kontroll 5: angi det snevrere funnet du kan forsvare
Et forsvarlig funn lyder slik: den bevarte registreringen viser at veiledning fantes, at noen operatører samlet inn autentiseringslogger, og at den konkrete saken ikke ga bevis nok til å identifisere en person. Det er snevrere enn at ingen så på, og det er mer nyttig fordi det kan kontrolleres. Noter også hva som ville ha endret utfallet, siden manglende korrelasjon er en annen svikt enn manglende data. Deretter stopper du.
Brede påstander om et helt tiår trenger registreringer fra det tiåret, ikke en troverdig historie om hvordan tingene pleide å være.