Muvaffaqiyatsiz atributsiya hujumchining anonim bo'lganini isbotlamaydi
Nomi ko'rsatilmagan jinoyatchisi bor ish dalillar nimalarni aniqlay olganini ko'rsatadi, anonimlik ishlaganini emas. Yo'riqnomani, uning qo'llanishini va muvaffaqiyatsiz atributsiyani ajrating.
Nomi ko'rsatilmagan jinoyatchi bilan tugaydigan ish odatda anonim deb ta'riflanadi va bu so'z ko'p jim ish qiladi. U dalillar haqidagi gapni dunyo haqidagi gapga aylantiradi. Ikkisi bir xil emas, eski hodisalarda esa farq ko'pincha saqlanib qolgan yozuv quvvatlay oladigan yagona narsadir. Atributsiya qilinmagan hodisa sizga nima aniqlanishi mumkinligini aytadi, nima mumkin bo'lganini emas.
Beshta tekshiruv bu ikkalasini alohida ushlab turadi.
Tekshiruv 1: yo'riqnomani uning qo'llanishidan ajrating
1991-yil noyabrda chop etilgan RFC 1281 xavfsizlikka oid yozuvlarni saqlash va audit qilishni, ulanishlarni kuzatishni qo'llab-quvvatlashni va hodisalarni boshqarish uchun xavfsizlik aloqasini tayinlashni tavsiya qilgan. U operatorlardan nima yig'ishlarini va uni kim ishlata olishini e'lon qilishni ham so'ragan. Bu tavsiya qilingan narsaning sanali yozuvi bo'lib, bu har qanday aniq tarmoq nima qilganidan boshqa da'vo.
Tavsiya xavotir mavjud bo'lganining dalilidir. Bu joriy etishning dalili emas va aniq tergov muvaffaqiyatli bo'lganining dalili mutlaqo emas.
Tekshiruv 2: atributsiyada qaysi bo'g'in uzilganini ayting
Atributsiya zanjirdir va har bir bo'g'in o'zicha muvaffaqiyatsizlikka uchraydi: tarmoq kuzatuvi, u bilan bog'liq hisob, o'sha paytda shu hisob ustidan nazorat va shu nazoratni shaxs bilan bog'lovchi dalillar. Oradagi manzil joy emas. Foydalanuvchi nomi klaviaturada kim yozganining dalili emas. Yozib olingan sessiya hisob egasi hozir bo'lganining dalili emas.
Xulosa yozishdan oldin qaysi bo'g'in yetishmayotganini yozing.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Tekshiruv 3: iqtibos keltirgan dalillaringizni sanalashtiring
Eski hisobotlar vaqtni yomon siqadi. Hech qachon yuritilmagan yozuvlar, saqlash siyosati bo'yicha muddati tugagan yozuvlar, mavjud bo'lgan, lekin tashkilotlar o'rtasida hech qachon solishtirilmagan yozuvlar va shunchaki davom ettirilmagan tergovlar zamonaviy xulosada bir xil iz qoldiradi: hech narsa. Texnik imkoniyat haqidagi gap faqat birinchisidir.
Esda qolgan xulosalardan ko'ra sanali birlamchi hujjatlarni afzal ko'ring va tayanadigan gapingizni keltiring.
Tekshiruv 4: tarixni texnikalar katalogiga aylantirish vasvasasiga qarshi turing
Tarixiy savol nima kuzatilishi mumkin edi va undan nima aniqlanishi mumkin edi, degan savoldir. Ochiq xizmatlar va standart hisob ma'lumotlari ro'yxati boshqa savolga javob beradi va atributsiyani tushunishga urinayotgan o'quvchi uchun bu noto'g'ri javob turi. Bu ham ortiqcha, chunki dalil operatsion tafsilotlarsiz ham turib beradi.
Agar misol qiziqarli bo'lishi uchun retsept kerak bo'lsa, misol noto'g'ri ish qilmoqda.
Tekshiruv 5: himoya qila oladigan torroq xulosani ayting
Himoya qilish mumkin bo'lgan xulosa shunday o'qiladi: saqlanib qolgan yozuv yo'riqnoma mavjud bo'lganini, ba'zi operatorlar autentifikatsiya jurnallarini yig'ganini va aniq ish shaxsni aniqlash uchun yetarli dalil bermaganini ko'rsatadi. Bu hech kim kuzatmagan degan fikrdan torroq va tekshirish mumkin bo'lgani uchun foydaliroq. Natijani nima o'zgartirishi mumkinligini ham yozing, chunki korrelyatsiya yo'qligi ma'lumot yo'qligidan boshqa muvaffaqiyatsizlik. Keyin to'xtang.
Butun o'n yillik haqidagi keng da'volar o'sha o'n yillikning yozuvlarini talab qiladi, avval ishlar qanday bo'lgani haqidagi ishonarli hikoyani emas.