摘要

  • RFC 3067 要求共同事故对象分别保存可观察事件、支持性证据、事故分类、实际损害、可能影响与置信度，而不是把它们压成一个结论。
  • 记录应从警报随调查成长到关闭与归档，并保留逐元素权限、证据保管链及先前 CSIRT 采取的行动。

在模式之前，先设计交接

RFC 3067 于 2001 年 2 月作为信息类文档发布，并不制定互联网标准。它记录了 TERENA 对事故对象描述与交换格式 IODEF 的高层需求。动机来自实务：攻击跨越国家、语言、文化与服务范围，响应团队需要分享警报、调查、统计和事后经验。

这个共同对象不能只是机器信封。它通常由人创建和授权，应能用普通工具阅读，也应能被处置系统处理。入侵检测消息可以打开故事，却不拥有整个故事。事故描述要承载多个团队在时间中学到什么、判断什么、做过什么。

因此规范先区分词义。事件是可观察的发生；证据是支持某项结论的信息；事故涉及安全违规；损害描述系统或服务实际受到的后果；影响描述用户群体承担的代价；置信度说明报告信息有多可靠。这些不是同义词，也不是为了表格好看而拆开的栏位。

警报不拥有结论

十秒内三次登录失败可以触发警报，却不能单独证明攻击者、入侵成功、损害或群体影响。统计检测器估算概率，一个 CSIRT 按自身政策升级事件，另一个团队可能把它同分布式行动关联。共同对象必须保存每一步，而不能把最初信号改写成最终裁决。

所以 RFC 3067 要求记录置信度，尤其是自动系统用统计方法估算事件概率时。已知攻击的可能影响可来自标准列表，没有参考资料时也可由负责人员依据经验说明。未知攻击类型可以先用临时、实现特定的名称，等待共同词汇出现。

结构化字段支持聚合，自由文字保留尚未稳定的理解。临时值是分类边界未决的收据，不是假装已经理解事件的许可。

记录还应随调查成长。警报阶段信息很少，处置与调查逐渐补充攻击、证据、主体、目标、后果和行动。先前 CSIRT 做过什么也必须留下，使下一团队知道还有哪些工作。对象是一份变化的案卷，而不是冻结的报警器。

每个隔间可以有不同读者

分享能够协调，也可能泄露。密码、个人或组织标识和取证材料可能同时位于一个对象中。规范因此要求每个元素都能带访问限制，而不是在整份报告上只贴一个等级。

接收方可能可以看到攻击类型与网络，却不能看到受害者身份或密封证据。统计报告可以保留汇总影响，同时去除行动细节。证据也可以外部引用，因为它的保管链和权限不同于一般描述。

加密并非万能答案。授权系统解密后，仍可能把材料交给无权的人或流程。限制标记必须作为后续处理的政策上下文跟随数据。交换通常还应由操作员或 CSIRT 负责人发起并批准；机器可读性辅助人的交接，却不会自动授权。

证据需要保管历史

RFC 3067 把系统转储、日志、内核统计、缓存、内存和临时文件列为可能证据，要求维护完整性、必要时加密、清楚记录保管链，并遵守当地法律。接收团队不只需要字节，也需要知道谁在何时、何种条件下收集，如何保存，转移是否改变了材料。

RFC 3227 后来进一步讨论易失性顺序、最小改动和过程记录。两份文档都不能保证不同法院、雇主或外国机关一定接受证据。格式能够携带保管事实，法律权威仍属于本地。

时间也有同样边界。RFC 3067 要求记录事故生命期各阶段，并保存本地时间及 UTC 偏移，以便规范化和关联。规范化时间可以帮助连接分布式活动，却不能修复错误时钟、未知采集延迟或错误因果关系。

2007 年，RFC 5070 把这些需求落为 XML IODEF 数据模型，同时明确它是传输格式，并非最佳长期存储，也不强制一种普遍“事故”定义。2016 年 RFC 7970 又取代了它。模式变得具体，权力仍分布在报告创建者、证据收集者、分享组织、接收团队与适用法律之间。

共同对象能使跨机构判断可读，却不能把观察、推论、决定和结果合为一层。运行代码可以校验、传递和显示文档；它不能证明事故分类正确，也不能证明响应成功。

来源