Neuspešno pripisovanje ne dokazuje, da je bil napadalec anonimen
Primer brez imenovanega storilca kaže, kaj so lahko dokazi ugotovili, ne da je anonimnost delovala. Ločite smernice, njihovo sprejetje in neuspešno pripisovanje.
Primer, ki se konča brez imenovanega storilca, je pogosto opisan kot anonimen, in ta beseda opravi veliko tihega dela. Izjavo o dokazih spremeni v izjavo o svetu. To ni isto, in pri starejših incidentih je razlika pogosto edina stvar, ki jo lahko ohranjeni zapis podpre. Incident brez pripisovanja vam pove, kaj je bilo mogoče ugotoviti, ne kaj je bilo mogoče.
Pet preverjanj drži ta dva ločena.
Preverjanje 1: ločite smernice od njihovega sprejetja
RFC 1281, objavljen novembra 1991, je priporočal shranjevanje in revidiranje varnostno pomembnih zapisov, podporo sledenju povezav in imenovanje varnostnega stika za obravnavo incidentov. Prosil je tudi operaterje, naj objavijo, kaj zbirajo in kdo lahko to uporablja. To je datiran zapis o tem, kaj je bilo priporočeno, kar je drugačna trditev od tega, kar je storilo katero koli konkretno omrežje.
Priporočilo je dokaz, da je skrb obstajala. Ni dokaz o uvedbi in vsekakor ni dokaz, da je bila določena preiskava uspešna.
Preverjanje 2: navedite, kateri člen pripisovanja se je pretrgal
Pripisovanje je veriga in vsak člen odpove na svoj način: omrežno opazovanje, z njim povezan račun, nadzor nad tem računom v tistem trenutku in dokazi, ki ta nadzor povežejo z osebo. Vmesni naslov ni lokacija. Uporabniško ime ni dokaz, kdo je tipkal na tipkovnici. Zabeležena seja ni dokaz, da je bil lastnik računa prisoten.
Zapišite, kateri člen manjka, preden zapišete sklep.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Preverjanje 3: datirajte dokaze, na katere se sklicujete
Stara poročila slabo stiskajo čas. Zapisi, ki nikoli niso bili vodeni, zapisi, ki so potekli po politiki hrambe, zapisi, ki so obstajali, a nikoli niso bili povezani med organizacijami, in preiskave, ki preprosto niso bile nadaljevane, vsi pustijo v sodobnem povzetku isto sled: nič. Samo prvo je izjava o tehnični zmožnosti.
Dajte prednost datiranim primarnim dokumentom pred zapomnjenimi povzetki in citirajte stavek, na katerega se opirate.
Preverjanje 4: uprite se skušnjavi, da bi zgodovino spremenili v katalog tehnik
Zgodovinsko vprašanje je, kaj je bilo mogoče opazovati in kaj je bilo iz tega mogoče ugotoviti. Seznam izpostavljenih storitev in privzetih poverilnic odgovarja na drugo vprašanje in je napačna vrsta odgovora za bralca, ki poskuša razumeti pripisovanje. Prav tako ni potreben, ker argument vzdrži brez operativnih podrobnosti.
Če primer potrebuje recept, da je zanimiv, primer opravlja napačno delo.
Preverjanje 5: navedite ožjo ugotovitev, ki jo lahko branite
Zagovorljiva ugotovitev se glasi takole: ohranjeni zapis kaže, da so smernice obstajale, da so nekateri operaterji zbirali dnevnike overjanja in da konkretni primer ni dal dokazov, zadostnih za identifikacijo osebe. To je ožje od trditve, da nihče ni gledal, in je bolj uporabno, ker je mogoče preveriti. Zabeležite tudi, kaj bi spremenilo izid, saj je pomanjkanje korelacije drugačna napaka kot pomanjkanje podatkov. Nato se ustavite.
Široke trditve o celem desetletju zahtevajo zapise iz tega desetletja, ne verjetne zgodbe o tem, kako je bilo včasih.