Piotr Suchowski wrote:

> Ja jestem nieco bardziej sceptyczny, śmiem twierdzić, że szczegółowo
> prowadzone logi same z siebie robią się kompletnie nieprzydatne. Załóżmy
> że ktoś ode mnie zrobi hacka na wp.pl, wp wyciąga ze swoich logów że
> hack miał miejsce z mojej numeracji o godzinie np. 15:12:55
> Prokuratura zgłasza się do mnie o udostępnienie logów z powiedzmy
> 15:00:00 do 16:00:00 skupiając się szczegółowo na zakresie 15:10-15:15.
> Dobrze kombinuje ? Myślę, że dobrze, problem jednak w tym że w ciągu 5
> minut ja loguje 1000 połączeń do wp z 300 komputerów, o 15:12:55
> rzeczywiście zalogowałem załóżmy tylko 3 SYN'y, z tym że:
> a) kto powiedział że mój zegar ma chodzić tak samo jak na wp ?
> b) jak zamierzasz udowodnić któremuś z 3 podejrzanych że to właśnie on ?

Heh, to jest dość bolesny problem. Mam dość dużo zapytań z komend/prokuratur
odnośnie w3cache.icm i muszę powiedzieć, że są beznadziejnie formułowane.
Bardzo czesto jest pominięta dokładna data (zdarza się, że w ogóle brakuje
nie tylko sekund, a godziny, a czasem podany jest tylko dzień zdarzenia),
prawie zawsze brakuje wspomnienia o tym jaki serwis był obiektem nadużycia
i ogólnie zdarzają się pytanie typu "kto korzysta z komputera o ip <ip>?"
bez żadnych dodatkowych informacji. Przy kilkuset różnych hostach na sekundę
dokładna data i adres jest kluczowy do wyciągnięcia czegokolwiek i tu zaczyna
się pingpong z zapytaniami o doprecyzowanie problemu - na które, zabawna
rzecz, nie tak wcale rzadko nie otrzymuję żadnej odpowiedzi.

A tak btw to dobijający jest fakt braku logowania / przekazywania służbom
przez w zasadzie wszystkie największe portale i serwisy aukcyjne nagłówków
via i x-forwarded-for. No bo przecież po co ułatwiać jak można po prostu
odbić problem do kogoś w najszybszy sposób...

--
sh