البحث في السجلات عن شيء مريب لا ينفع، ويستحق الأمر أن نفهم لماذا قبل أن نصرف سنة كاملة نسوي هذا الشي.
ما تكدر تبحث عن شي ما فكرت فيه أصلاً. الاستعلام هو تخمين لما سواه المهاجم، والتخمينات الجيدة هي تلك التي ما كنت راح تفكر بيها. لهذا فالأسلوب المثمر هو تقريباً عكس البحث: بدل ما تسأل شنو الشي السيء، اسأل شنو الشي النادر، وبعدين اسأل ليش.
تحليل التكرار هو الطريقة كلها، وهو بسيط لدرجة محرجة. خذ حقلاً معيناً. عد كم مرة تكرر كل قيمة فيه. اقرأ آخر القائمة.
تقريباً كل جهاز في منظومتك يتواصل مع نفس الحفنة من الوجهات. الجهاز الوحيد الذي حل اسم نطاق ما سأل عنه أحد غيره أبداً يكون في آخر هذا العد، وأخذ أمراً واحداً بس لإيجاده. نفس الحيلة تشتغل على وكلاء المستخدم، وعلى أزواج العمليات الأصل والفرع، وعلى الحسابات التي دخلت على أي أجهزة، وعلى بصمات JA3، وعلى المنافذ الصادرة. رتّب تصاعدياً. اقرأ الذيل.
الأسلوب الثاني هو تكديس حقلين عادة يكونان مستقلين عن بعض. الحساب والجهاز مثلاً. أغلب الناس يدخلون على جهاز أو جهازين. الحساب الذي يظهر على أحد عشر جهازاً، خلال عطلة نهاية الأسبوع، ما يسوي شيئاً تكدر تمسكه قاعدة مبنية على أسماء الملفات، وهو أوضح علامة على إعادة استخدام بيانات الاعتماد.
ثالثاً: قارن مع الزمن بدل المقارنة مع حد ثابت. "أكثر من خمسين محاولة دخول فاشلة" رقم خمّنه أحدهم. "عشرة أضعاف متوسط هذا الحساب الأسبوعي" يتكيف مع حساب خدمة يفشل بشكل طبيعي كثيراً، ومع إنسان لا يفشل أبداً.
هناك تحذيران عمليان، تعلمناهما بالطريقة الصعبة.
الغياب دليل. الجهاز الذي كان يسجل بانتظام لأشهر ثم سكت يوم الثلاثاء يخبرك بشيء، وما راح يكشفه أي بحث عن أشياء سيئة — لازم تكون تبحث عن الفجوة نفسها. فعّل تنبيهاً على صمت المصادر التي من المفترض أن تكون نشطة.
ودوّن ما استبعدته. التحقيق الذي ينتهي بـ"ما لكينا شي" ما له فايدة تقريباً للشخص التالي، لأنه راح يكرر كل استعلام سويته أنت. أما التحقيق الذي ينتهي بـ"دققنا A وB وC، وهذا سبب كون كل واحد منها طبيعياً، وما توفرت بيانات لـD"، فهذا تسليم حقيقي، وD هي النقطة التي يبدأ منها الشخص التالي.