O atribuire eșuată nu dovedește că atacatorul a fost anonim
Un caz fără un vinovat numit arată ce puteau stabili probele, nu că anonimatul a funcționat. Separă îndrumarea, adoptarea ei și eșecul atribuirii.
Un caz care se încheie fără un vinovat numit este adesea descris ca anonim, iar acel cuvânt face multă muncă tăcută. Transformă o afirmație despre probe într-o afirmație despre lume. Cele două nu sunt același lucru, iar în incidentele mai vechi diferența este adesea singurul lucru pe care înregistrarea supraviețuitoare îl poate susține. Un incident neatribuit îți spune ce putea fi stabilit, nu ce era posibil.
Cinci verificări țin cele două separate.
Verificarea 1: separă îndrumarea de adoptarea ei
RFC 1281, publicat în noiembrie 1991, recomanda păstrarea și auditarea înregistrărilor relevante pentru securitate, sprijinirea urmăririi conexiunilor și desemnarea unui contact de securitate pentru gestionarea incidentelor. De asemenea, le cerea operatorilor să publice ce colectează și cine poate folosi aceste date. Aceasta este o înregistrare datată a ceea ce a fost recomandat, ceea ce este o afirmație diferită de ceea ce a făcut o anumită rețea.
O recomandare este dovada că îngrijorarea exista. Nu este dovada implementării și cu siguranță nu este dovada că o anchetă anume a reușit.
Verificarea 2: numește care verigă a atribuirii s-a rupt
Atribuirea este un lanț, iar fiecare verigă eșuează în felul ei: o observație de rețea, contul asociat cu ea, controlul asupra acelui cont la momentul respectiv și probele care leagă acel control de o persoană. O adresă intermediară nu este o locație. Un nume de utilizator nu este dovada cine a scris la tastatură. O sesiune înregistrată nu este dovada că titularul contului a fost prezent.
Notează care verigă lipsește înainte de a nota o concluzie.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Verificarea 3: datează probele pe care le citezi
Rapoartele vechi comprimă prost timpul. Înregistrările care nu au fost niciodată ținute, cele expirate conform unei politici de păstrare, cele care au existat dar nu au fost niciodată corelate între organizații și anchetele care pur și simplu nu au fost continuate lasă toate aceeași urmă într-un rezumat modern: nimic. Doar prima este o afirmație despre capacitatea tehnică.
Preferă documentele primare datate în locul rezumatelor reținute din memorie și citează propoziția pe care te bazezi.
Verificarea 4: rezistă tentației de a transforma istoria într-un catalog de tehnici
Întrebarea istorică este ce era observabil și ce putea fi stabilit din asta. O listă de servicii expuse și de acreditări implicite răspunde la altă întrebare și este tipul greșit de răspuns pentru un cititor care încearcă să înțeleagă atribuirea. Este și inutilă, pentru că argumentul rezistă fără detalii operaționale.
Dacă un exemplu are nevoie de o rețetă ca să fie interesant, exemplul face munca greșită.
Verificarea 5: enunță constatarea mai îngustă pe care o poți apăra
O constatare defendabilă sună așa: înregistrarea supraviețuitoare arată că îndrumarea exista, că unii operatori colectau jurnale de autentificare și că cazul concret nu a produs probe suficiente pentru a identifica o persoană. Aceasta este mai îngustă decât că nimeni nu se uita și este mai utilă pentru că poate fi verificată. Notează și ce ar fi schimbat rezultatul, deoarece lipsa corelației este un eșec diferit de lipsa datelor. Apoi oprește-te.
Afirmațiile largi despre un întreg deceniu necesită înregistrări din acel deceniu, nu o poveste plauzibilă despre cum erau lucrurile cândva.