Неуспешно приписивање не доказује да је нападач био анониман
Случај без именованог починиоца показује шта су докази могли утврдити, а не да је анонимност успела. Одвојте смернице, примену и неуспешно приписивање.
Случај који се заврши без именованог починиоца обично се описује као анониман, а та реч обави много тихог посла. Она претвара тврдњу о доказима у тврдњу о свету. То двоје није исто, а код старијих инцидената разлика је често једино што преживели запис може да подржи. Инцидент без приписивања каже вам шта се могло утврдити, а не шта је било могуће.
Пет провера држи то двоје одвојеним.
Провера 1: одвојте смернице од њихове примене
RFC 1281, објављен у новембру 1991, препоручивао је чување и ревизију безбедносно релевантних записа, подршку праћењу веза и именовање безбедносног контакта за решавање инцидената. Такође је тражио од оператера да објаве шта прикупљају и ко то може да користи. То је датиран запис о томе шта је препоручено, што је другачија тврдња од онога што је урадила било која конкретна мрежа.
Препорука је доказ да је забринутост постојала. Није доказ примене и свакако није доказ да је одређена истрага успела.
Провера 2: наведите која је карика у приписивању пукла
Приписивање је ланац и свака карика пада на свој начин: мрежно опажање, рачун повезан с њим, контрола тог рачуна у том тренутку и докази који ту контролу повезују с особом. Посредничка адреса није локација. Корисничко име није доказ ко је куцао на тастатури. Забележена сесија није доказ да је власник рачуна био присутан.
Запишите која карика недостаје пре него што запишете закључак.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Провера 3: датирајте доказе које наводите
Стари извештаји лоше сабијају време. Записи који никада нису вођени, записи којима је истекао рок према политици чувања, записи који су постојали али никада нису били повезани између организација и истраге које једноставно нису настављене остављају исти траг у савременом сажетку: ништа. Само је прво тврдња о техничкој способности.
Претпоставите примарне документе с датумима уместо памћених сажетака и цитирајте реченицу на коју се ослањате.
Провера 4: одуприте се претварању историје у каталог техника
Историјско питање је шта је било видљиво и шта се из тога могло утврдити. Списак изложених сервиса и подразумеваних акредитива одговара на друго питање и погрешна је врста одговора за читаоца који покушава да разуме приписивање. Такође је непотребан, јер аргумент стоји и без оперативних детаља.
Ако пример треба рецепт да би био занимљив, пример ради погрешан посао.
Провера 5: наведите ужу спознају коју можете да браните
Одбрањив налаз звучи овако: преживели запис показује да су смернице постојале, да су неки оператери прикупљали дневнике аутентификације и да конкретан случај није произвео доказе довољне за идентификацију особе. То је уже од тврдње да нико није гледао и корисније је јер може да се провери. Забележите и шта би променило исход, јер недостатак корелације је другачији неуспех од недостатка података. Затим престаните.
Широке тврдње о читавој деценији захтевају записе из те деценије, а не уверљиву причу о томе како је некада било.