การระบุที่มาล้มเหลวไม่ได้พิสูจน์ว่าผู้โจมตีเป็นนิรนาม
คดีที่ไม่มีผู้กระทำผิดระบุชื่อแสดงให้เห็นว่าหลักฐานพิสูจน์อะไรได้ ไม่ใช่ว่าการปิดบังตัวตนได้ผล แยกคำแนะนำ การนำไปใช้ และความล้มเหลวของการระบุที่มา
คดีที่จบลงโดยไม่มีผู้กระทำผิดระบุชื่อมักถูกบรรยายว่าเป็นนิรนาม และคำนั้นทำงานเงียบ ๆ มากมาย มันเปลี่ยนข้อความเกี่ยวกับหลักฐานให้เป็นข้อความเกี่ยวกับโลก สองสิ่งนี้ไม่เหมือนกัน และในเหตุการณ์เก่า ๆ ความต่างมักเป็นสิ่งเดียวที่บันทึกที่เหลืออยู่จะรองรับได้ เหตุการณ์ที่ไม่ถูกระบุที่มาบอกคุณว่าอะไรพิสูจน์ได้ ไม่ใช่ว่าอะไรเป็นไปได้
การตรวจห้าข้อแยกสองสิ่งนั้นออกจากกัน
การตรวจ 1: แยกคำแนะนำจากการนำไปใช้
RFC 1281 ซึ่งเผยแพร่ในเดือนพฤศจิกายน 1991 แนะนำให้เก็บรักษาและตรวจสอบบันทึกที่เกี่ยวข้องกับความปลอดภัย สนับสนุนการติดตามการเชื่อมต่อ และแต่งตั้งผู้ติดต่อด้านความปลอดภัยสำหรับจัดการเหตุการณ์ นอกจากนี้ยังขอให้ผู้ให้บริการเผยแพร่ว่าพวกเขาเก็บอะไรและใครใช้ได้ นั่นเป็นบันทึกที่มีวันที่ของสิ่งที่เคยแนะนำ ซึ่งเป็นการกล่าวอ้างที่ต่างจากสิ่งที่เครือข่ายใดเครือข่ายหนึ่งทำ
คำแนะนำเป็นหลักฐานว่าความกังวลนั้นมีอยู่ ไม่ใช่หลักฐานของการนำไปปฏิบัติ และแน่นอนไม่ใช่หลักฐานว่าการสอบสวนเฉพาะเรื่องประสบความสำเร็จ
การตรวจ 2: ระบุว่าข้อต่อใดในการระบุที่มาแตก
การระบุที่มาเป็นลูกโซ่ และแต่ละข้อต่อล้มเหลวในแบบของมันเอง: การสังเกตบนเครือข่าย บัญชีที่เชื่อมโยงกับการสังเกตนั้น การควบคุมบัญชีนั้นในเวลานั้น และหลักฐานที่เชื่อมการควบคุมนั้นกับบุคคล ที่อยู่ตัวกลางไม่ใช่ตำแหน่งที่ตั้ง ชื่อผู้ใช้ไม่ใช่หลักฐานว่าใครพิมพ์บนแป้นพิมพ์ เซสชันที่บันทึกไว้ไม่ใช่หลักฐานว่าเจ้าของบัญชีอยู่ที่นั่น
เขียนว่าข้อต่อใดหายไปก่อนเขียนข้อสรุป
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
การตรวจ 3: ระบุวันที่ของหลักฐานที่คุณอ้าง
รายงานเก่าบีบเวลาได้แย่ บันทึกที่ไม่เคยถูกเก็บ บันทึกที่หมดอายุตามนโยบายการเก็บรักษา บันทึกที่มีอยู่แต่ไม่เคยถูกเชื่อมโยงข้ามองค์กร และการสอบสวนที่เพียงแต่ไม่ถูกสานต่อ ล้วนทิ้งร่องรอยเดียวกันในบทสรุปสมัยใหม่: ไม่มีอะไรเลย มีเพียงอย่างแรกเท่านั้นที่เป็นข้อความเกี่ยวกับความสามารถทางเทคนิค
เลือกเอกสารปฐมภูมิที่มีวันที่มากกว่าบทสรุปที่จำได้ และอ้างประโยคที่คุณพึ่งพา
การตรวจ 4: ต้านทานการล่อใจที่จะเปลี่ยนประวัติศาสตร์เป็นแคตตาล็อกเทคนิค
คำถามทางประวัติศาสตร์คืออะไรที่สังเกตได้และอะไรที่พิสูจน์ได้จากสิ่งนั้น รายการบริการที่เปิดเผยและข้อมูลรับรองเริ่มต้นตอบคำถามอื่น และเป็นคำตอบผิดประเภทสำหรับผู้อ่านที่พยายามเข้าใจการระบุที่มา ทั้งยังไม่จำเป็น เพราะข้อโต้แย้งยังคงอยู่ได้โดยไม่ต้องมีรายละเอียดการปฏิบัติงาน
ถ้าตัวอย่างต้องมีสูตรอาหารจึงจะน่าสนใจ ตัวอย่างนั้นกำลังทำงานผิด
การตรวจ 5: ระบุข้อค้นพบที่แคบกว่าซึ่งคุณป้องกันได้
ข้อค้นพบที่ป้องกันได้อ่านได้ดังนี้: บันทึกที่เหลืออยู่แสดงว่าคำแนะนำมีอยู่ ผู้ให้บริการบางรายเก็บบันทึกการรับรองความถูกต้อง และคดีเฉพาะนั้นไม่ได้สร้างหลักฐานเพียงพอที่จะระบุตัวบุคคล นี่แคบกว่าการที่ไม่มีใครเฝ้าดู และมีประโยชน์กว่าเพราะตรวจสอบได้ สังเกตด้วยว่าอะไรจะเปลี่ยนผลลัพธ์ เพราะการขาดความสัมพันธ์เป็นความล้มเหลวที่ต่างจากการขาดข้อมูล แล้วหยุด
การกล่าวอ้างกว้าง ๆ เกี่ยวกับทศวรรษทั้งหมดต้องใช้บันทึกจากทศวรรษนั้น ไม่ใช่เรื่องเล่าที่ฟังขึ้นเกี่ยวกับว่าสิ่งต่าง ๆ เคยเป็นอย่างไร