Başarısız atıf, saldırganın anonim olduğunu kanıtlamaz
Adı belirtilmeyen bir faili olan dava, kanıtların neyi ortaya koyabildiğini gösterir, anonimliğin işe yaradığını değil. Rehberi, benimsenmesini ve başarısız atfı ayırın.
Adı belirtilmeyen bir faille sonuçlanan dava genellikle anonim olarak tanımlanır ve bu kelime çok sessiz bir iş görür. Kanıtlarla ilgili bir ifadeyi dünya hakkında bir ifadeye dönüştürür. İkisi aynı değildir ve eski olaylarda fark genellikle geriye kalan kaydın destekleyebileceği tek şeydir. Atfedilmemiş bir olay size neyin ortaya konabileceğini söyler, neyin mümkün olduğunu değil.
Beş kontrol bu ikisini ayrı tutar.
Kontrol 1: rehberi benimsenmesinden ayırın
Kasım 1991'de yayımlanan RFC 1281, güvenlikle ilgili kayıtların saklanmasını ve denetlenmesini, bağlantı izlemenin desteklenmesini ve olay yönetimi için bir güvenlik irtibatının atanmasını öneriyordu. Ayrıca işletmecilerden neyi topladıklarını ve kimin kullanabileceğini yayımlamalarını istedi. Bu, neyin önerildiğine dair tarihli bir kayıttır ve herhangi bir ağın ne yaptığından farklı bir iddiadır.
Bir öneri, endişenin var olduğunun kanıtıdır. Uygulamanın kanıtı değildir ve belirli bir soruşturmanın başarılı olduğunun kesinlikle kanıtı değildir.
Kontrol 2: atıfta hangi halkanın koptuğunu adlandırın
Atıf bir zincirdir ve her halka kendi biçiminde başarısız olur: bir ağ gözlemi, onunla ilişkili hesap, o anda o hesap üzerindeki kontrol ve bu kontrolü bir kişiye bağlayan kanıtlar. Aracı adres bir konum değildir. Kullanıcı adı klavyede kimin yazdığının kanıtı değildir. Kaydedilmiş bir oturum, hesap sahibinin orada olduğunun kanıtı değildir.
Bir sonuç yazmadan önce hangi halkanın eksik olduğunu yazın.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kontrol 3: atıfta bulunduğunuz kanıtları tarihlendirin
Eski raporlar zamanı kötü sıkıştırır. Hiç tutulmayan kayıtlar, saklama politikası gereği süresi dolan kayıtlar, var olan ama kurumlar arasında hiç ilişkilendirilmeyen kayıtlar ve sadece sürdürülmeyen soruşturmalar modern bir özette hep aynı izi bırakır: hiçbir şey. Teknik yetenek hakkında bir ifade olan yalnızca ilkidir.
Hatırlanan özetler yerine tarihli birincil belgeleri tercih edin ve dayandığınız cümleyi alıntılayın.
Kontrol 4: tarihi bir teknik kataloğuna dönüştürme cazibesine direnin
Tarihsel soru, neyin gözlemlenebilir olduğu ve bundan neyin ortaya konabileceğidir. Açık hizmetler ve varsayılan kimlik bilgileri listesi başka bir soruyu yanıtlar ve atfı anlamaya çalışan bir okuyucu için yanlış türde bir yanıttır. Ayrıca gereksizdir, çünkü argüman operasyonel ayrıntılar olmadan da ayakta durur.
Bir örneğin ilginç olması için tarife ihtiyacı varsa, örnek yanlış işi yapıyor.
Kontrol 5: savunabileceğiniz daha dar bulguyu belirtin
Savunulabilir bir bulgu şöyle okunur: geriye kalan kayıt, rehberin var olduğunu, bazı işletmecilerin kimlik doğrulama günlükleri topladığını ve söz konusu davanın bir kişiyi tanımlamaya yetecek kanıt üretmediğini gösterir. Bu, kimsenin izlemediği iddiasından daha dardır ve doğrulanabildiği için daha yararlıdır. Sonucu neyin değiştireceğini de not edin, çünkü korelasyon eksikliği veri eksikliğinden farklı bir başarısızlıktır. Sonra durun.
Bütün bir on yıl hakkındaki geniş iddialar o on yılın kayıtlarını gerektirir, işlerin eskiden nasıl olduğuna dair inandırıcı bir hikâyeyi değil.