Ang nabigong pag-attribute ay hindi nagpapatunay na ang umaatake ay hindi kilala
Ang kaso na walang pinangalanang salarin ay nagpapakita kung ano ang maaaring itatag ng ebidensya, hindi na gumana ang pagiging hindi kilala. Ihiwalay ang patnubay, ang pagtanggap dito at ang nabigong pag-attribute.
Ang kaso na nagtatapos na walang pinangalanang salarin ay madalas ilarawan bilang hindi kilala, at ang salitang iyon ay gumagawa ng maraming tahimik na trabaho. Ginagawa nitong pahayag tungkol sa mundo ang isang pahayag tungkol sa ebidensya. Hindi sila pareho, at sa mas lumang mga pangyayari ang pagkakaiba ay madalas ang tanging bagay na masusuportahan ng natitirang rekord. Ang pangyayaring hindi na-attribute ay nagsasabi sa iyo kung ano ang maaaring itatag, hindi kung ano ang posible.
Limang pagsusuri ang naghihiwalay sa dalawang iyon.
Pagsusuri 1: ihiwalay ang patnubay sa pagtanggap dito
Ang RFC 1281, na inilathala noong Nobyembre 1991, ay nagrekomenda ng pag-iingat at pag-audit ng mga rekord na may kaugnayan sa seguridad, pagsuporta sa pagsubaybay ng koneksyon, at pagtatalaga ng security contact para sa paghawak ng insidente. Hiniling din nito sa mga operator na ilathala kung ano ang kanilang kinokolekta at kung sino ang maaaring gumamit nito. Iyon ay isang may petsang rekord ng inirekomenda, na ibang pag-aangkin mula sa ginawa ng anumang partikular na network.
Ang rekomendasyon ay ebidensya na umiral ang pag-aalala. Hindi ito ebidensya ng implementasyon, at tiyak na hindi ito ebidensya na nagtagumpay ang isang partikular na imbestigasyon.
Pagsusuri 2: pangalanan kung aling kawing sa pag-attribute ang nasira
Ang pag-attribute ay isang kadena, at bawat kawing ay nabibigo sa sarili nitong paraan: isang obserbasyon sa network, ang account na nauugnay dito, ang kontrol sa account na iyon sa panahong iyon, at ang ebidensyang nag-uugnay sa kontrol na iyon sa isang tao. Ang intermediary address ay hindi lokasyon. Ang username ay hindi patunay kung sino ang nag-type sa keyboard. Ang naitalang session ay hindi patunay na naroroon ang may-ari ng account.
Isulat kung aling kawing ang nawawala bago magsulat ng konklusyon.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Pagsusuri 3: bigyan ng petsa ang ebidensyang sinipi mo
Ang lumang mga ulat ay hindi magandang nag-compress ng oras. Mga rekord na hindi kailanman itinago, mga rekord na nag-expire sa ilalim ng patakaran sa pagtago, mga rekord na umiral ngunit hindi kailanman iniugnay sa pagitan ng mga organisasyon, at mga imbestigasyong hindi lamang ipinagpatuloy — lahat sila ay nag-iiwan ng parehong bakas sa isang modernong buod: wala. Ang una lamang ang pahayag tungkol sa teknikal na kakayahan.
Mas piliin ang may petsang pangunahing dokumento kaysa sa naaalalang buod, at sipiin ang pangungusap na iyong pinagbabatayan.
Pagsusuri 4: labanan ang tukso na gawing katalogo ng mga teknik ang kasaysayan
Ang tanong ng kasaysayan ay kung ano ang naoobserbahan at ano ang maaaring itatag mula rito. Ang listahan ng mga nakalantad na serbisyo at default na kredensyal ay sumasagot sa ibang tanong, at ito ang maling uri ng sagot para sa mambabasang nagtangkang maunawaan ang pag-attribute. Hindi rin ito kailangan, dahil ang argumento ay nananatili nang walang operasyonal na detalye.
Kung ang isang halimbawa ay nangangailangan ng resipi upang maging kawili-wili, ang halimbawa ay gumagawa ng maling trabaho.
Pagsusuri 5: sabihin ang mas makitid na natuklasan na maaari mong ipagtanggol
Ang maipagtatanggol na natuklasan ay ganito ang basa: ipinapakita ng natitirang rekord na mayroong patnubay, na ang ilang operator ay nangolekta ng authentication logs, at na ang partikular na kaso ay hindi gumawa ng sapat na ebidensya upang makilala ang isang tao. Ito ay mas makitid kaysa sa walang sinumang nanonood, at mas kapaki-pakinabang dahil maaari itong suriin. Tandaan din kung ano ang magbabago sa kinalabasan, dahil ang kakulangan ng ugnayan ay ibang kabiguan kaysa sa kakulangan ng datos. Pagkatapos ay huminto.
Ang malawak na pag-aangkin tungkol sa isang buong dekada ay nangangailangan ng mga rekord mula sa dekadang iyon, hindi isang kapani-paniwalang kuwento tungkol sa dati.