Как да подадете сигнал за злоупотреба от изход на VPN

Трафикът от изход на VPN може да бъде злоупотреба, без да ви казва кой го е изпратил, а докладът, който пишете, зависи от това на кой от три въпроса отговаряте. Спирането на трафика е ваша работа още днес. Запазването на доказателствата е процедура. Идентифицирането на лице изисква правен процес, който вероятно не притежавате. Докладите се провалят, когато тези три се смесят в една жалба, защото получателят може да действа само по частта, която е негова.

Първо отделете трите въпроса

Започнете с решението какъв резултат искате. Ако целта е да спрете заявките, можете днес да блокирате диапазона от адреси, да ограничите честотата на акаунта или да затегнете крайната точка, а сигналът за злоупотреба е второстепенен. Ако целта е запис, който издържа на проверка, ви трябват времеви маркери, идентификатори на заявки и нередактиран оригинал, съхранен на сигурно място. Ако целта е име зад адреса, ви трябва правният процес на оператора или съдебно решение и никаква частна жалба не го замества.

Смесването им създава класическия неизползваем доклад: разгневен абзац, без часова зона, искане за данни на абоната и никаква индикация какво би могъл да направи получателят дори да искаше да помогне. Такъв доклад се затваря без действие и подателят заключава, че службите за злоупотреби не правят нищо. Получателят не е имал нищо, по което да действа.

Запишете трите отговора, преди да отворите имейла. Те определят тона, дължината и искането.

Какво доказва адресът на изхода и какво не

Адресът, свързан с VPN, ви казва откъде трафикът е влязъл в интернет, а не кой го е породил. Комерсиалният изход се споделя от много клиенти едновременно, а NAT на ниво оператор пред него може да споделя един публичен адрес между хиляди абонати чрез диапазони от портове. RFC 6269 описва този модел на споделяне на адреси и практическото следствие е, че адресът на източника плюс времеви маркер могат да идентифицират абонат само ако операторът все още пази съответствието за този момент.

Записвайте това, което можете да докажете. Това означава времевия маркер в UTC с отбелязана оригинална зона, адреса на източника, порта на източника, протокола и идентификатора на заявката, както и дали действието е дошло от удостоверен акаунт или от анонимна заявка. Пазете суровия запис, след което направете редактирано копие за получателя. Екранна снимка е лош заместител на оригиналния ред в журнала.

Сроковете за съхранение са кратки и се различават при различните оператори. Колкото по-рано попитате, толкова по-вероятно е съответствието да съществува, и това е основният аргумент да подадете сигнал бързо, дори когато вече сте омекотили проблема.

Изберете канала, който наистина може да действа

Съществуват три канала и те не са взаимозаменяеми. Службата за злоупотреби на оператора на изхода може да разследва собствения си клиент и да спре акаунта. Контактът в регистъра за диапазона от адреси може да ви насочи към правилния оператор, когато записът в whois е остарял или принадлежи на реселър. Правоприлагащите органи се занимават с предполагаемо престъпление, заплахи и сериозно компрометиране и само този канал може да принуди разкриване в повечето юрисдикции.

Две условия избират канала. Инцидентът продължава, което говори за смекчаване първо и доклад паралелно, или е исторически, което говори за запазване на доказателствата преди всичко? Трябва ви трафикът да спре, на което всеки от трите може да повлияе, или ви трябва самоличност, която само правният път може да даде? Трето условие решава колко подробности да изпратите: операторът, който управлява изхода, се нуждае от технически подробности, докато контактът в регистъра се нуждае само от диапазона от адреси и проблема.

Когато инцидентът е престъпление в ход, службата за злоупотреби и властите не са алтернативи. Подайте сигнал до двете и уведомете оператора, че може да последва правно искане, за да се задейства собствената му политика за съхранение.

Напишете доклада, по който получателят може да действа

Дръжте съобщението достатъчно кратко, за да се прочете за минута. Един абзац казва какво се е случило и кога, един блок изброява доказателствата с точни времеви маркери, един ред казва какво вече сте направили и един ред казва какво искате. Сложете искането за номер на случая в края, за да може заетият анализатор да отговори с номер вместо с разговор.

Премахнете тайните от копието, което изпращате. Пароли, токени за сесии, несвързани лични данни и вътрешни имена на хостове не помагат на получателя и повишават вашата собствена експозиция. Пазете нередактирания оригинал на място с ограничен достъп и записан хеш, ако инцидентът може да стане правно доказателство. Командите по-долу събират публичните факти за даден адрес, преди да напишете нещо.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Заменете адреса, който всъщност сте наблюдавали, и имайте предвид, че документационен диапазон като този по-горе няма да върне реален запис. Ако изходът на whois посочва хостинг доставчик вместо марката VPN, този доставчик е правилният получател, защото той държи разпределението на адреса и връзката с клиента.

Обработете отговора и пазете записа

Мълчанието не означава, че нищо не се е случило. Операторите редовно действат по доклад, без да уведомят подателя, както защото не могат да разкриват информация за клиенти, така и защото политиката им може да го забранява. Кратко потвърждение с номер на случай е максимумът, който трябва да очаквате, а искането за повече технически подробности е добър знак, а не забавяне.

Не публикувайте обвинение срещу адрес или доставчик, докато докладът е отворен. Да посочите споделен изход като виновник наказва всеки друг клиент на този изход и може да навреди на случая, ако по-късно достигне до правен процес. Насоките на NIST за реакция при инциденти разглеждат произхода и поверителността на записите за инцидента като част от реакцията, а не като документация след нея.

Затворете цикъла в собствените си записи: какво сте изпратили, на кого, кога и какво се е променило в резултат. Именно тази история превръща следващия инцидент от суматоха в процедура с известна първа стъпка.