Невдала атрибуція не доводить, що нападник був анонімним
Справа без названого винуватця показує, що могли встановити докази, а не те, що анонімність спрацювала. Відокремлюйте рекомендації, їх ухвалення та невдачу атрибуції.
Справу, яка закінчується без названого винуватця, часто описують як анонімну, і це слово робить багато тихої роботи. Воно перетворює твердження про докази на твердження про світ. Це не одне й те саме, і в старих інцидентах різниця часто є єдиним, що може підтвердити збережений запис. Інцидент без атрибуції каже вам, що можна було встановити, а не що було можливо.
П'ять перевірок розділяють ці дві речі.
Перевірка 1: відокремте рекомендацію від її ухвалення
RFC 1281, опублікований у листопаді 1991 року, рекомендував зберігати й перевіряти записи, дотичні до безпеки, підтримувати трасування з'єднань і призначати контакт з безпеки для обробки інцидентів. Він також просив операторів публікувати, що вони збирають і хто може це використовувати. Це датований запис про те, що було рекомендовано, а це інше твердження, ніж те, що зробила якась конкретна мережа.
Рекомендація — це доказ, що занепокоєння існувало. Це не доказ упровадження і точно не доказ того, що конкретне розслідування було успішним.
Перевірка 2: назвіть, яка ланка в атрибуції розірвалася
Атрибуція — це ланцюг, і кожна ланка відмовляє по-своєму: спостереження в мережі, пов'язаний з ним обліковий запис, контроль над цим записом у той момент і докази, що пов'язують цей контроль з особою. Проміжна адреса — не місцеположення. Ім'я користувача — не доказ того, хто друкував на клавіатурі. Зареєстрована сесія — не доказ того, що власник запису був присутній.
Запишіть, якої ланки бракує, перш ніж записувати висновок.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Перевірка 3: датуйте докази, на які посилаєтеся
Старі звіти погано стискають час. Записи, які ніколи не вели, записи, що минули за політикою зберігання, записи, що існували, але ніколи не зіставлялися між організаціями, і розслідування, які просто не продовжували, — усі залишають у сучасному резюме один і той самий слід: нічого. Лише перше є твердженням про технічні можливості.
Надавайте перевагу датованим первинним документам перед запам'ятованими резюме й цитуйте речення, на яке спираєтеся.
Перевірка 4: опирайтеся спокусі перетворити історію на каталог технік
Історичне питання полягає в тому, що було спостережуваним і що з цього можна було встановити. Перелік відкритих служб і стандартних облікових даних відповідає на інше питання, і це неправильний тип відповіді для читача, який намагається зрозуміти атрибуцію. Він також не потрібен, бо аргумент тримається й без операційних деталей.
Якщо приклад потребує рецепта, щоб бути цікавим, то приклад робить не ту роботу.
Перевірка 5: сформулюйте вужчий висновок, який ви можете захистити
Захищуваний висновок звучить так: збережений запис показує, що рекомендації існували, що деякі оператори збирали журнали автентифікації і що конкретна справа не дала доказів, достатніх для встановлення особи. Це вужче, ніж твердження, що ніхто не спостерігав, і корисніше, бо це можна перевірити. Занотуйте також, що змінило б результат, адже відсутність кореляції — інша невдача, ніж відсутність даних. Потім зупиніться.
Широкі твердження про ціле десятиліття потребують записів із того десятиліття, а не правдоподібної історії про те, як усе було раніше.