Piotr Suchowski wrote:

> Ja jestem nieco bardziej sceptyczny, śmiem twierdzić, że szczegółowo
> prowadzone logi same z siebie robią się kompletnie nieprzydatne. Załóżmy
> że ktoś ode mnie zrobi hacka na wp.pl, wp wyciąga ze swoich logów że
> hack miał miejsce z mojej numeracji o godzinie np. 15:12:55
> Prokuratura zgłasza się do mnie o udostępnienie logów z powiedzmy
> 15:00:00 do 16:00:00 skupiając się szczegółowo na zakresie 15:10-15:15.
> Dobrze kombinuje ? Myślę, że dobrze, problem jednak w tym że w ciągu 5
> minut ja loguje 1000 połączeń do wp z 300 komputerów, o 15:12:55
> rzeczywiście zalogowałem załóżmy tylko 3 SYN'y, z tym że:
> a) kto powiedział że mój zegar ma chodzić tak samo jak na wp ?
> b) jak zamierzasz udowodnić któremuś z 3 podejrzanych że to właśnie on ?

Heh, to jest dość bolesny problem. Mam dość dużo zapytań z komend/prokuratur
odnośnie w3cache.icm i muszę powiedzieć, że są beznadziejnie formułowane.
Bardzo czesto jest pominięta dokładna data (zdarza się, że w ogóle brakuje
nie tylko sekund, a godziny, a czasem nawet dnia zdarzenia), prawie zawsze
brakuje wspomnienia o tym jaki serwis był obiektem nadużycia i ogólnie zdarzają
się pytanie typu "kto korzysta z komputera o ip <ip>?" bez żadnych dodatkowych
informacji. Przy kilkuset różnych hostach na sekundę dokładna data i adres jest
kluczowy do wyciągnięcia czegokolwiek i tu zaczyna się pingpong z zapytaniami o
doprecyzowanie problemu - na które, zabawna rzecz, nie tak wcale rzadko nie
otrzymuję żadnej odpowiedzi.

A tak btw to dobijający jest fakt braku logowania / przekazywania służbom
przez w zasadzie wszystkie największe portale i serwisy aukcyjne nagłówków
via i x-forwarded-for. No bo przecież po co ułatwiać jak można po prostu
odbić problem do kogoś w najszybszy sposób...

--
sh