Việc quy kết thất bại không chứng minh kẻ tấn công là ẩn danh
Một vụ việc không có thủ phạm được nêu tên cho thấy bằng chứng có thể xác lập điều gì, không phải rằng ẩn danh đã hiệu quả. Hãy tách hướng dẫn, việc áp dụng và thất bại của quy kết.
Một vụ việc kết thúc mà không có thủ phạm được nêu tên thường được mô tả là ẩn danh, và từ đó làm rất nhiều việc thầm lặng. Nó biến một phát biểu về bằng chứng thành phát biểu về thế giới. Hai điều đó không giống nhau, và với các sự việc cũ, sự khác biệt thường là điều duy nhất mà hồ sơ còn lại có thể chống đỡ. Một sự việc không được quy kết cho bạn biết điều gì có thể được xác lập, không phải điều gì là có thể.
Năm bước kiểm tra giữ tách biệt hai điều đó.
Kiểm tra 1: tách hướng dẫn khỏi việc áp dụng nó
RFC 1281, xuất bản tháng Mười Một năm 1991, khuyến nghị lưu giữ và kiểm toán các hồ sơ liên quan đến bảo mật, hỗ trợ truy vết kết nối và chỉ định một đầu mối bảo mật để xử lý sự cố. Nó cũng yêu cầu các nhà vận hành công bố những gì họ thu thập và ai có thể sử dụng. Đó là một hồ sơ có ngày tháng về những gì đã được khuyến nghị, khác với tuyên bố về những gì một mạng cụ thể đã làm.
Một khuyến nghị là bằng chứng rằng mối lo đã tồn tại. Đó không phải bằng chứng về triển khai, và chắc chắn không phải bằng chứng rằng một cuộc điều tra cụ thể đã thành công.
Kiểm tra 2: nêu mắt xích nào trong quy kết đã đứt
Quy kết là một chuỗi, và mỗi mắt xích thất bại theo cách riêng: một quan sát mạng, tài khoản gắn với nó, quyền kiểm soát tài khoản đó vào thời điểm ấy, và bằng chứng nối quyền kiểm soát đó với một người. Địa chỉ trung gian không phải vị trí. Tên người dùng không phải bằng chứng về ai đã gõ trên bàn phím. Một phiên được ghi lại không phải bằng chứng rằng chủ tài khoản có mặt.
Viết ra mắt xích nào còn thiếu trước khi viết kết luận.
| Evidence | What it actually establishes |
|---|---|
| Source address in a log | An address at that moment, not a person |
| Account name | A credential was used, not who held it |
| Session window | When activity happened, not intent |
| Cross-network correlation | A path, not an identity |
Kiểm tra 3: ghi ngày cho bằng chứng bạn trích dẫn
Các báo cáo cũ nén thời gian rất tệ. Những hồ sơ chưa bao giờ được lưu, những hồ sơ hết hạn theo chính sách lưu trữ, những hồ sơ tồn tại nhưng chưa bao giờ được đối chiếu giữa các tổ chức, và những cuộc điều tra đơn giản là không được tiếp tục đều để lại cùng một dấu vết trong một bản tóm tắt hiện đại: không có gì. Chỉ cái đầu tiên là phát biểu về năng lực kỹ thuật.
Ưu tiên tài liệu gốc có ngày tháng hơn bản tóm tắt được nhớ lại, và trích dẫn câu bạn dựa vào.
Kiểm tra 4: chống lại cám dỗ biến lịch sử thành một danh mục kỹ thuật
Câu hỏi lịch sử là điều gì có thể quan sát được và điều gì có thể được xác lập từ đó. Một danh sách dịch vụ bị phơi bày và thông tin đăng nhập mặc định trả lời một câu hỏi khác, và đó là kiểu trả lời sai cho độc giả đang cố hiểu quy kết. Nó cũng không cần thiết, vì lập luận vẫn đứng vững mà không cần chi tiết vận hành.
Nếu một ví dụ cần công thức để thú vị, thì ví dụ đó đang làm sai việc.
Kiểm tra 5: nêu phát hiện hẹp hơn mà bạn có thể bảo vệ
Một phát hiện có thể bảo vệ đọc như sau: hồ sơ còn lại cho thấy hướng dẫn đã tồn tại, một số nhà vận hành thu thập nhật ký xác thực, và vụ việc cụ thể không tạo ra bằng chứng đủ để nhận dạng một người. Điều này hẹp hơn so với việc không ai theo dõi, và hữu ích hơn vì có thể kiểm chứng. Cũng ghi lại điều gì sẽ thay đổi kết quả, vì thiếu tương quan là một thất bại khác với thiếu dữ liệu. Sau đó dừng lại.
Những tuyên bố rộng về cả một thập kỷ cần hồ sơ từ thập kỷ đó, không phải một câu chuyện hợp lý về cách mọi thứ từng diễn ra.