Neúspešná atribúcia nepreukazuje, že útočník bol anonymný
Prípad bez menovaného páchateľa ukazuje, čo mohli dôkazy preukázať, nie že anonymita fungovala. Oddeľte usmernenia, ich prijatie a zlyhanie atribúcie.
Prípad, ktorý sa skončí bez menovaného páchateľa, sa často opisuje ako anonymný a to slovo robí veľa tichej práce. Premieňa tvrdenie o dôkazoch na tvrdenie o svete. To nie je to isté a pri starších incidentoch je rozdiel často jediná vec, ktorú dochovaný záznam môže podporiť. Incident bez atribúcie vám hovorí, čo bolo možné preukázať, nie čo bolo možné.
Päť kontrol drží obe oddelené.
Kontrola 1: oddeľte usmernenia od ich prijatia
RFC 1281, vydaný v novembri 1991, odporúčal uchovávať a auditovať záznamy súvisiace s bezpečnosťou, podporovať sledovanie spojení a určiť bezpečnostný kontakt na riešenie incidentov. Tiež žiadal prevádzkovateľov, aby zverejnili, čo zbierajú a kto to môže používať. Je to datovaný záznam o tom, čo bolo odporúčané, čo je iné tvrdenie než to, čo urobila ktorákoľvek konkrétna sieť.
Odporúčanie je dôkaz, že obava existovala. Nie je dôkazom implementácie a rozhodne nie je dôkazom, že konkrétne vyšetrovanie uspelo.
Kontrola 2: pomenujte, ktorý článok atribúcie sa pretrhol
Atribúcia je reťaz a každý článok zlyháva po svojom: sieťové pozorovanie, účet s ním spojený, kontrola nad týmto účtom v danom čase a dôkazy spájajúce túto kontrolu s osobou. Sprostredkujúca adresa nie je miesto. Používateľské meno nie je dôkazom, kto písal na klávesnici. Zaznamenaná relácia nie je dôkazom, že majiteľ účtu bol prítomný.
Pred zapísaním záveru zapíšte, ktorý článok chýba.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrola 3: datujte dôkazy, ktoré citujete
Staré správy zle stláčajú čas. Záznamy, ktoré sa nikdy neviedli, záznamy s vypršanou retenčnou lehotou, záznamy, ktoré existovali, ale nikdy sa medzi organizáciami nekorelovali, a vyšetrovania, ktoré sa jednoducho nevykonávali, zanechávajú v modernom zhrnutí rovnakú stopu: nič. Iba prvé je tvrdenie o technickej schopnosti.
Uprednostnite datované primárne dokumenty pred pamätanými zhrnutiami a citujte vetu, o ktorú sa opierate.
Kontrola 4: odolajte pokušeniu premeniť históriu na katalóg techník
Historická otázka je, čo bolo pozorovateľné a čo z toho bolo možné preukázať. Zoznam vystavených služieb a predvolených prihlasovacích údajov odpovedá na inú otázku a je to nesprávny druh odpovede pre čitateľa, ktorý sa snaží pochopiť atribúciu. Je tiež zbytočný, pretože argument obstojí aj bez prevádzkových podrobností.
Ak príklad potrebuje recept, aby bol zaujímavý, príklad robí nesprávnu prácu.
Kontrola 5: uveďte užšie zistenie, ktoré dokážete obhájiť
Obhájiteľné zistenie znie takto: dochovaný záznam ukazuje, že usmernenia existovali, že niektorí prevádzkovatelia zbierali autentifikačné protokoly a že konkrétny prípad nepriniesol dôkazy dostatočné na identifikáciu osoby. To je užšie než tvrdenie, že nikto nesledoval, a je užitočnejšie, pretože sa dá overiť. Poznamenajte aj to, čo by zmenilo výsledok, keďže chýbajúca korelácia je iné zlyhanie než chýbajúce údaje. Potom prestaňte.
Široké tvrdenia o celom desaťročí potrebujú záznamy z toho desaťročia, nie vierohodný príbeh o tom, ako to kedysi chodilo.