Neuspelo pripisivanje ne dokazuje da je napadač bio anoniman
Slučaj bez imenovanog počinioca pokazuje što su dokazi mogli utvrditi, a ne da je anonimnost uspela. Odvojite smernice, primenu i neuspelo pripisivanje.
Slučaj koji se završi bez imenovanog počinioca obično se opisuje kao anoniman, a ta reč obavi mnogo tihog posla. Ona pretvara tvrdnju o dokazima u tvrdnju o svetu. To dvoje nije isto, a kod starijih incidenata razlika je često jedino što preživeli zapis može da podrži. Incident bez pripisivanja kaže vam šta se moglo utvrditi, a ne šta je bilo moguće.
Pet provera drži to dvoje odvojenim.
Provera 1: odvojite smernice od njihove primene
RFC 1281, objavljen u novembru 1991, preporučivao je čuvanje i reviziju bezbednosno relevantnih zapisa, podršku praćenju veza i imenovanje bezbednosnog kontakta za rešavanje incidenata. Takođe je tražio od operatora da objave šta prikupljaju i ko to može da koristi. To je datiran zapis o tome šta je preporučeno, što je drugačija tvrdnja od onoga što je uradila bilo koja konkretna mreža.
Preporuka je dokaz da je zabrinutost postojala. Nije dokaz primene i svakako nije dokaz da je određena istraga uspela.
Provera 2: navedite koja je karika u pripisivanju pukla
Pripisivanje je lanac i svaka karika pada na svoj način: mrežno opažanje, račun povezan s njim, kontrola tog računa u tom trenutku i dokazi koji tu kontrolu povezuju s osobom. Posrednička adresa nije lokacija. Korisničko ime nije dokaz ko je kucao na tastaturi. Zabeležena sesija nije dokaz da je vlasnik računa bio prisutan.
Zapišite koja karika nedostaje pre nego što zapišete zaključak.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Provera 3: datirajte dokaze koje navodite
Stari izveštaji loše sabijaju vreme. Zapisi koji nikada nisu vođeni, zapisi kojima je istekao rok prema politici čuvanja, zapisi koji su postojali ali nikada nisu bili povezani između organizacija i istrage koje jednostavno nisu nastavljene ostavljaju isti trag u savremenom sažetku: ništa. Samo je prvo tvrdnja o tehničkoj sposobnosti.
Pretpostavite primarne dokumente s datumima umesto pamćenih sažetaka i citirajte rečenicu na koju se oslanjate.
Provera 4: oduprite se pretvaranju istorije u katalog tehnika
Istorijsko pitanje je šta je bilo vidljivo i šta se iz toga moglo utvrditi. Spisak izloženih servisa i podrazumevanih akreditiva odgovara na drugo pitanje i pogrešna je vrsta odgovora za čitaoca koji pokušava da razume pripisivanje. Takođe je nepotreban, jer argument stoji i bez operativnih detalja.
Ako primer treba recept da bi bio zanimljiv, primer radi pogrešan posao.
Provera 5: navedite užu spoznaju koju možete da branite
Odbranjiv nalaz zvuči ovako: preživeli zapis pokazuje da su smernice postojale, da su neki operatori prikupljali dnevnike autentifikacije i da konkretan slučaj nije proizveo dokaze dovoljne za identifikaciju osobe. To je uže od tvrdnje da niko nije gledao i korisnije je jer može da se proveri. Zabeležite i šta bi promenilo ishod, jer nedostatak korelacije je drugačiji neuspeh od nedostatka podataka. Zatim prestanite.
Široke tvrdnje o čitavoj deceniji zahtevaju zapise iz te decenije, a ne uverljivu priču o tome kako je nekada bilo.