Ein Bericht, dem andere trauen können
Ein Forensikbericht hält fest, was gefunden wurde, woher man es weiß und was offen bleibt. Andere müssen jeden Satz nachprüfen können, sonst ist der Bericht wertlos.
Der Fahrradladen will wissen, was in der Nacht geschah. Die Inhaberin liest den Bericht und gibt ihn an ihre Versicherung weiter. Beide dürfen nicht raten müssen, was gemeint ist.
Am Ende dieser Lektion
Notiz
Ich kann einen Bericht schreiben, den andere nachprüfen können.
Schlüsselwörter
| Begriff | Was er bedeutet |
|---|---|
| Tatsache | eine Aussage, die ein Beleg stützt |
| Deutung | Ihre Erklärung dessen, was die Tatsachen heißen |
| Beleg | eine Datei oder Zeile, die eine Aussage stützt |
| Reproduzierbar | andere kommen mit denselben Schritten zum selben Ergebnis |
| Grenze | etwas, das Sie nicht wissen oder nicht prüfen konnten |
| Zusammenfassung | die Kernaussagen am Anfang, kurz und ohne Fachwörter |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Eine Tatsache hat einen Beleg, eine Deutung nicht
Eine Tatsache lässt sich prüfen: „Um 02:14:09 steht im Anmeldelog ein Fehlversuch für root.“ Jede Leserin kann die Zeile suchen.
Eine Deutung erklärt: „Jemand riet Passwörter.“ Das ist plausibel, aber kein Beleg. Schreiben Sie beides, und trennen Sie es sichtbar.
Ein Beispiel: Tatsache und Deutung nebeneinander
| Satz | Art | Warum |
|---|---|---|
| Das Anmeldelog zeigt 40 Fehlversuche zwischen 02:10 und 02:20 [Beleg: auth.log]. | Tatsache | Zählbar und mit Quelle |
| Der Angreifer wollte Kundendaten stehlen. | Deutung | Das Ziel steht in keiner Zeile |
| Die Datei /tmp/helper wurde um 02:31 angelegt [Beleg: mtimes.txt]. | Tatsache | Zeit und Quelle genannt |
| Das Programm ist wahrscheinlich Schadsoftware. | Deutung | Das Wort „wahrscheinlich“ zeigt es |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Zitieren Sie Datei, Zeile und Hashwert
Zu jeder Tatsache gehört, wo Leser sie finden: Datei und Zeilennummer. Zum Bericht gehört der Hashwert jeder Beleg-Datei, damit jeder prüfen kann, ob sie noch dieselbe ist.
Mit grep -n bekommen Sie die Zeilennummer gleich mit.
Eine Zeile mit ihrer Zeilennummer finden
printf "a\nb Fehler\nc\n" | grep -n "Fehler"Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Den Hashwert einer Beleg-Datei festhalten
sha256sum case/var/log/auth.log > beweis.sha256Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Prüfen, ob die Beleg-Datei dieselbe ist
sha256sum -c beweis.sha256Hier angezeigt, nicht ausgeführt. Erstellen Sie ein kostenloses Konto, um „Ausführen“ zu drücken und ihn im Terminal Ihres eigenen Labs einzugeben.
Sagen Sie, was Sie nicht wissen
Jeder Bericht hat Grenzen. Vielleicht fehlt ein Log, oder die Uhr eines Rechners ging falsch. Schreiben Sie das hin.
Nennen Sie auch eine andere mögliche Erklärung. Wer nur eine Erklärung zeigt, wirkt, als habe er die anderen nie geprüft.
Ein Beispiel: der Aufbau eines Berichts
| Teil | Inhalt |
|---|---|
| Zusammenfassung | Zwei bis vier Sätze, ohne Fachwörter |
| Beweisstücke | Was untersucht wurde, mit Hashwert und Beweiskette |
| Zeitleiste | Ereignisse nach Zeit, je mit Beleg |
| Funde | Tatsachen, nummeriert, mit Quelle |
| Deutung | Was die Funde bedeuten, klar als Deutung gekennzeichnet |
| Grenzen | Was offen blieb und was anders sein könnte |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Fehler
Warnung
Viele glauben, ein guter Bericht erzähle eine runde Geschichte. Fehlt ein Glied, füllen sie es mit einer Vermutung und schreiben sie als Tatsache auf. Lassen Sie die Lücke offen und nennen Sie sie bei den Grenzen. Eine ehrliche Lücke schadet weniger als eine falsche Tatsache.