Nieudane przypisanie nie dowodzi, że atakujący był anonimowy
Sprawa bez nazwanego sprawcy pokazuje, co mogły ustalić dowody, a nie że anonimowość zadziałała. Oddziel wytyczne, ich przyjęcie i niepowodzenie przypisania.
Sprawa, która kończy się bez nazwanego sprawcy, bywa opisywana jako anonimowa, a to słowo wykonuje dużo cichej pracy. Zamienia twierdzenie o dowodach w twierdzenie o świecie. To nie jest to samo, a w starszych incydentach różnica jest często jedyną rzeczą, którą zachowany zapis może wesprzeć. Incydent bez przypisania mówi, co można było ustalić, a nie co było możliwe.
Pięć kontroli trzyma te dwie rzeczy osobno.
Kontrola 1: oddziel wytyczne od ich przyjęcia
RFC 1281, opublikowany w listopadzie 1991 r., zalecał przechowywanie i audytowanie zapisów istotnych dla bezpieczeństwa, wspieranie śledzenia połączeń oraz wyznaczenie kontaktu ds. bezpieczeństwa do obsługi incydentów. Prosił też operatorów o publikowanie, co zbierają i kto może tego używać. To datowany zapis tego, co zalecano, czyli twierdzenie inne niż to, co zrobiła konkretna sieć.
Zalecenie jest dowodem, że obawa istniała. Nie jest dowodem wdrożenia i z pewnością nie jest dowodem, że konkretne śledztwo się powiodło.
Kontrola 2: wskaż, które ogniwo przypisania się zerwało
Przypisanie to łańcuch, a każde ogniwo zawodzi na swój sposób: obserwacja sieciowa, powiązane z nią konto, kontrola nad tym kontem w danym momencie i dowody łączące tę kontrolę z osobą. Adres pośredniczący nie jest lokalizacją. Nazwa użytkownika nie dowodzi, kto pisał na klawiaturze. Zalogowana sesja nie dowodzi, że właściciel konta był obecny.
Zapisz, którego ogniwa brakuje, zanim zapiszesz wniosek.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrola 3: opatrz datą dowody, na które się powołujesz
Stare raporty źle kompresują czas. Zapisów, których nigdy nie prowadzono, zapisów, które wygasły zgodnie z polityką retencji, zapisów, które istniały, ale nigdy nie zostały skorelowane między organizacjami, oraz śledztw, których po prostu nie kontynuowano, wszystkie pozostawiają ten sam ślad we współczesnym podsumowaniu: nic. Tylko pierwsze jest twierdzeniem o możliwościach technicznych.
Przedkładaj datowane dokumenty pierwotne nad zapamiętane podsumowania i cytuj zdanie, na którym się opierasz.
Kontrola 4: oprzyj się pokusie zamienienia historii w katalog technik
Pytanie historyczne brzmi, co było obserwowalne i co można było z tego ustalić. Lista ujawnionych usług i domyślnych poświadczeń odpowiada na inne pytanie i jest niewłaściwym rodzajem odpowiedzi dla czytelnika, który próbuje zrozumieć przypisanie. Jest też niepotrzebna, bo argument broni się bez szczegółów operacyjnych.
Jeśli przykład potrzebuje przepisu, aby był ciekawy, to przykład wykonuje niewłaściwą pracę.
Kontrola 5: sformułuj węższe ustalenie, którego możesz bronić
Możliwe do obrony ustalenie brzmi tak: zachowany zapis pokazuje, że wytyczne istniały, że niektórzy operatorzy zbierali dzienniki uwierzytelniania i że konkretna sprawa nie dostarczyła dowodów wystarczających do zidentyfikowania osoby. To jest węższe niż twierdzenie, że nikt nie patrzył, i bardziej użyteczne, bo można to sprawdzić. Zanotuj też, co zmieniłoby wynik, ponieważ brak korelacji to inne niepowodzenie niż brak danych. Potem przestań.
Szerokie twierdzenia o całej dekadzie wymagają zapisów z tej dekady, a nie wiarygodnej opowieści o tym, jak kiedyś bywało.