Misslyckad attribuering bevisar inte att angriparen var anonym
Ett fall utan namngiven gärningsperson visar vad bevisen kunde fastställa, inte att anonymitet fungerade. Skilj på vägledning, dess tillämpning och misslyckad attribuering.
Ett fall som slutar utan en namngiven gärningsperson beskrivs ofta som anonymt, och det ordet gör mycket tyst arbete. Det förvandlar ett påstående om bevis till ett påstående om världen. De två är inte samma sak, och för äldre incidenter är skillnaden ofta det enda som den bevarade dokumentationen kan stödja. En incident utan attribuering säger vad som kunde fastställas, inte vad som var möjligt.
Fem kontroller håller de två isär.
Kontroll 1: skilj vägledningen från dess tillämpning
RFC 1281, som publicerades i november 1991, rekommenderade att bevara och granska säkerhetsrelevanta uppgifter, stödja spårning av anslutningar och utse en säkerhetskontakt för incidenthantering. Den bad också operatörer att publicera vad de samlade in och vem som fick använda det. Det är en daterad dokumentation av vad som rekommenderades, vilket är ett annat påstående än vad ett visst nätverk gjorde.
En rekommendation är bevis för att oron fanns. Den är inte bevis för implementering och absolut inte bevis för att en viss utredning lyckades.
Kontroll 2: namnge vilken länk i attribueringen som brast
Attribuering är en kedja, och varje länk brister på sitt eget sätt: en nätverksobservation, kontot som hör samman med den, kontrollen över det kontot vid det tillfället och bevisen som kopplar den kontrollen till en person. En mellanliggande adress är inte en plats. Ett användarnamn är inte bevis för vem som skrev på tangentbordet. En loggad session är inte bevis för att kontoinnehavaren var närvarande.
Skriv ned vilken länk som saknas innan du skriver en slutsats.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontroll 3: datera bevisen du hänvisar till
Gamla rapporter komprimerar tid dåligt. Register som aldrig fördes, register som löpte ut enligt en bevarandepolicy, register som fanns men aldrig korrelerades mellan organisationer och utredningar som helt enkelt inte följdes upp lämnar alla samma spår i en modern sammanfattning: ingenting. Bara det första är ett påstående om teknisk förmåga.
Föredra daterade primärdokument framför ihågkomna sammanfattningar och citera meningen du bygger på.
Kontroll 4: motstå frestelsen att göra historien till en teknikkatalog
Den historiska frågan är vad som var observerbart och vad som kunde fastställas utifrån det. En lista över exponerade tjänster och standarduppgifter besvarar en annan fråga, och det är fel sorts svar för en läsare som försöker förstå attribuering. Den är också onödig, eftersom argumentet håller utan operativa detaljer.
Om ett exempel behöver ett recept för att vara intressant gör exemplet fel arbete.
Kontroll 5: ange det snävare fynd du kan försvara
Ett försvarbart fynd lyder så här: den bevarade dokumentationen visar att vägledning fanns, att vissa operatörer samlade in autentiseringsloggar och att det konkreta fallet inte gav bevis nog för att identifiera en person. Det är snävare än att ingen tittade, och det är mer användbart eftersom det går att kontrollera. Notera också vad som skulle ha ändrat utfallet, eftersom saknad korrelation är ett annat misslyckande än saknade data. Stanna sedan.
Vida påståenden om ett helt decennium kräver dokumentation från det decenniet, inte en trovärdig historia om hur saker brukade vara.