Një atribuim i dështuar nuk provon se sulmuesi ishte anonim
Një rast pa fajtor të emërtuar tregon çfarë mund të vërtetonin provat, jo se anonimiteti funksionoi. Ndani udhëzimin, miratimin e tij dhe dështimin e atribuimit.
Një rast që përfundon pa një fajtor të emërtuar përshkruhet shpesh si anonim, dhe ajo fjalë bën shumë punë të heshtur. Ajo e kthen një pohim për provat në një pohim për botën. Të dyja nuk janë e njëjta gjë, dhe në incidentet e vjetra ndryshimi është shpesh e vetmja gjë që regjistri i mbijetuar mund të mbështesë. Një incident i paatribuar ju tregon çfarë mund të vërtetohej, jo çfarë ishte e mundur.
Pesë kontrolle i mbajnë të dyja të ndara.
Kontrolli 1: ndani udhëzimin nga miratimi i tij
RFC 1281, botuar në nëntor 1991, rekomandonte ruajtjen dhe auditimin e regjistrave të rëndësishëm për sigurinë, mbështetjen e gjurmimit të lidhjeve dhe caktimin e një kontakti sigurie për trajtimin e incidenteve. Ai gjithashtu u kërkonte operatorëve të publikonin çfarë mblidhnin dhe kush mund ta përdorte. Ky është një regjistër i datuar i asaj që u rekomandua, që është një pohim i ndryshëm nga ai që bëri ndonjë rrjet i caktuar.
Një rekomandim është provë se shqetësimi ekzistonte. Nuk është provë e zbatimit dhe sigurisht nuk është provë se një hetim i caktuar pati sukses.
Kontrolli 2: emërtoni cila hallkë e atribuimit u thye
Atribuimi është një zinxhir dhe secila hallkë dështon në mënyrën e vet: një vëzhgim rrjeti, llogaria e lidhur me të, kontrolli mbi atë llogari në atë moment dhe provat që e lidhin atë kontroll me një person. Një adresë ndërmjetëse nuk është vendndodhje. Një emër përdoruesi nuk është provë se kush shtypi në tastierë. Një sesion i regjistruar nuk është provë se pronari i llogarisë ishte i pranishëm.
Shkruani cila hallkë mungon përpara se të shkruani një përfundim.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrolli 3: dato provat që citoni
Raportet e vjetra e kompresojnë kohën keq. Regjistrat që nuk u mbajtën kurrë, ata që skaduan sipas një politike ruajtjeje, ata që ekzistonin por nuk u ndërlidhën kurrë mes organizatash dhe hetimet që thjesht nuk u vazhduan, të gjithë lënë të njëjtën gjurmë në një përmbledhje moderne: asgjë. Vetëm i pari është pohim për aftësinë teknike.
Preferoni dokumente parësore të datuara ndaj përmbledhjeve të mbajtura mend, dhe citoni fjalinë ku mbështeteni.
Kontrolli 4: kundërvihuni tundimit për ta kthyer historinë në katalog teknikash
Pyetja historike është çfarë ishte e vëzhgueshme dhe çfarë mund të vërtetohej prej saj. Një listë e shërbimeve të ekspozuara dhe kredencialeve të parazgjedhura i përgjigjet një pyetjeje tjetër, dhe është lloji i gabuar i përgjigjes për një lexues që përpiqet të kuptojë atribuimin. Është gjithashtu e panevojshme, sepse argumenti qëndron pa detaje operative.
Nëse një shembull ka nevojë për një recetë për të qenë interesant, shembulli po bën punën e gabuar.
Kontrolli 5: shprehni gjetjen më të ngushtë që mund të mbroni
Një gjetje e mbrojtshme lexohet kështu: regjistri i mbijetuar tregon se udhëzimi ekzistonte, se disa operatorë mblidhnin regjistra vërtetimi dhe se rasti konkret nuk prodhoi prova të mjaftueshme për të identifikuar një person. Kjo është më e ngushtë sesa që askush nuk po shikonte, dhe është më e dobishme sepse mund të verifikohet. Vini re edhe çfarë do ta kishte ndryshuar rezultatin, pasi mungesa e korrelacionit është një dështim i ndryshëm nga mungesa e të dhënave. Pastaj ndaloni.
Pohimet e gjera për një dekadë të tërë kërkojnë regjistra nga ajo dekadë, jo një histori të besueshme për atë se si ishin gjërat dikur.