Як паведаміць пра злоўжыванне, якое ідзе з выхаду VPN

Трафік з выхаду VPN можа быць злоўжываннем, не кажучы вам, хто яго адправіў, і справаздача, якую вы пішаце, залежыць ад таго, на якое з трох пытанняў вы адказваеце. Спыніць трафік — гэта ваша задача на сёння. Захаванне доказаў — гэта працэдура. Ідэнтыфікацыя асобы патрабуе юрыдычнага працэсу, якога ў вас, хутчэй за ўсё, няма. Справаздачы правальваюцца, калі гэтыя тры змешваюцца ў адну скаргу, бо атрымальнік можа дзейнічаць толькі ў той частцы, якой ён валодае.

Спачатку аддзяліце тры пытанні

Пачніце з рашэння, якога выніку вы хочаце. Калі мэта — спыніць запыты, вы можаце сёння заблакаваць дыяпазон адрасоў, абмежаваць хуткасць уліковага запісу або ўзмацніць канцавы пункт, і справаздача пра злоўжыванне другасная. Калі мэта — запіс, які перажыве праверку, вам патрэбныя пазнакі часу, ідэнтыфікатары запытаў і нязменны арыгінал, захаваны ў бяспечным месцы. Калі мэта — імя за адрасам, вам патрэбен юрыдычны працэс аператара або рашэнне суда, і ніякая прыватная скарга гэтага не заменіць.

Змешванне іх дае класічную непрыдатную справаздачу: раз'юшаны абзац, няма часавага пояса, патрабаванне звестак пра абанента і ніякай падказкі, што атрымальнік мог бы зрабіць, нават калі б хацеў дапамагчы. Такая справаздача закрываецца без дзеянняў, і адпраўнік робіць выснову, што службы злоўжыванняў нічога не робяць. У атрымальніка не было нічога, на што можна было б дзейнічаць.

Запішыце тры адказы, перш чым адкрыць электронную пошту. Яны вызначаюць тон, даўжыню і просьбу.

Што даказвае адрас выхаду і што не

Адрас, звязаны з VPN, кажа вам, адкуль трафік увайшоў у інтэрнэт, а не хто яго ініцыяваў. Камерцыйны выхад супольна выкарыстоўваецца многімі кліентамі адначасова, а NAT аператарскага класа перад ім можа дзяліць адзін публічны адрас паміж тысячамі абанентаў з дапамогай дыяпазонаў портаў. RFC 6269 апісвае гэтую мадэль супольнага выкарыстання адрасоў, і практычная выснова такая: адрас крыніцы плюс пазнака часу могуць ідэнтыфікаваць абанента, толькі калі аператар яшчэ захоўвае суаднясенне для гэтага моманту.

Запісвайце тое, што можаце даказаць. Гэта пазнака часу ў UTC з адзначаным зыходным поясам, адрас крыніцы, порт крыніцы, пратакол і ідэнтыфікатар запыту, а таксама тое, ці дзеянне прыйшло з аўтэнтыфікаванага ўліковага запісу або ананімнага запыту. Захавайце сыры запіс, потым зрабіце адрэдагаваную копію для атрымальніка. Здымак экрана — дрэнная замена арыгінальнага радка ў журнале.

Тэрміны захавання кароткія і адрозніваюцца ў залежнасці ад аператара. Чым хутчэй вы спытаеце, тым вышэй імавернасць, што суаднясенне яшчэ існуе, і гэта галоўны аргумент паведамляць хутка, нават калі вы ўжо змякчылі праблему.

Выберыце канал, які сапраўды можа дзейнічаць

Існуюць тры каналы, і яны не ўзаемазаменныя. Служба злоўжыванняў аператара выхаду можа расследаваць свайго кліента і можа прыпыніць уліковы запіс. Кантакт рэестра для дыяпазону адрасоў можа паказаць вам правільнага аператара, калі запіс whois састарэлы або належыць рэсэлеру. Праваахоўныя органы займаюцца меркаваным злачынствам, пагрозамі і сур'ёзным узломам, і толькі гэты канал можа прымусіць да раскрыцця ў большасці юрысдыкцый.

Канал выбіраюць дзве ўмовы. Інцыдэнт працягваецца, што схіляе да змякчэння спачатку і справаздачы паралельна, ці ён гістарычны, што схіляе да захавання доказаў перш за ўсё? Вам трэба, каб трафік спыніўся, на што можа паўплываць любы з трох, ці вам патрэбна асоба, што можа даць толькі юрыдычны шлях? Трэцяя ўмова вызначае, колькі дэталяў дасылаць: аператар, які трымае выхад, патрабуе тэхнічных падрабязнасцей, а кантакту рэестра патрэбны толькі дыяпазон адрасоў і праблема.

Калі інцыдэнт — злачынства, якое адбываецца, служба злоўжыванняў і ўлады не з'яўляюцца альтэрнатывамі. Паведаміце абодвум і дайце аператару ведаць, што можа быць юрыдычны запыт, каб спрацавала яго ўласная палітыка захавання.

Напішыце справаздачу, па якой атрымальнік можа дзейнічаць

Трымайце паведамленне дастаткова кароткім, каб прачытаць за хвіліну. Адзін абзац кажа, што і калі адбылося, адзін блок пералічвае доказы з дакладнымі пазнакамі часу, адзін радок кажа, што вы ўжо зрабілі, і адзін радок кажа, чаго вы просіце. Пастаўце запыт на нумар справы ў канцы, каб заняты аналітык мог адказаць нумарам, а не размовай.

Выдаліце сакрэты з копіі, якую дасылаеце. Паролі, токены сеансаў, непатрэбныя асабістыя даныя і ўнутраныя імёны хостаў не дапамагаюць атрымальніку і павялічваюць вашу ўласную ўразлівасць. Захоўвайце нерэдагаваны арыгінал у месцы з абмежаваным доступам і запісаным хэшам, калі інцыдэнт можа стаць юрыдычным доказам. Каманды ніжэй збіраюць публічныя факты пра адрас, перш чым вы што-небудзь напішаце.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Замяніце адрас, які вы фактычна назіралі, і ўлічыце, што дакументацыйны дыяпазон, падобны да прыведзенага вышэй, не верне жывы запіс. Калі вывад whois называе хостэра, а не брэнд VPN, менавіта гэты хостэр з'яўляецца правільным атрымальнікам, бо ён трымае размеркаванне адрасоў і ўзаемаадносіны з кліентам.

Апрацуйце адказ і захавайце запіс

Маўчанне не азначае, што нічога не адбылося. Аператары рэгулярна дзейнічаюць па справаздачы, не паведамляючы пра гэта заяўніку, бо не могуць раскрываць звесткі пра кліента і бо іх палітыка можа гэта забараняць. Кароткае пацвярджэнне з нумарам справы — максімум, на які варта спадзявацца, а просьба даслаць больш тэхнічных дэталяў — добры знак, а не затрымка.

Не публікуйце абвінавачанне ў адрас адраса або правайдэра, пакуль справаздача адкрытая. Назваць супольны выхад вінаватым — гэта пакараць кожнага іншага кліента гэтага выхаду і можа нашкодзіць справе, калі яна пазней дойдзе да юрыдычнага працэсу. Кіраўніцтва NIST па рэагаванні на інцыдэнты лічыць паходжанне і канфідэнцыйнасць запісаў інцыдэнту часткай рэагавання, а не паперамі пасля яго.

Замкніце цыкл у сваіх запісах: што вы даслалі, каму, калі і што змянілася ў выніку. Менавіта гэтая гісторыя ператварае наступны інцыдэнт з мітусні ў працэдуру з вядомым першым крокам.