Com denunciar el trànsit abusiu que arriba d’una sortida VPN

El trànsit d’una sortida VPN pot ser abusiu sense dir-te qui l’ha enviat, i l’informe que escrius depèn de quina de les tres preguntes estàs responent. Aturar el trànsit és cosa teva avui. Preservar les proves és un procediment. Identificar una persona requereix un procés legal que probablement no tens. Els informes fallen quan aquests tres es barregen en una sola reclamació, perquè el destinatari només pot actuar sobre la part que li pertoca.

Separa primer les tres preguntes

Comença decidint quin resultat vols. Si l’objectiu és aturar les peticions, avui pots bloquejar el rang d’adreces, limitar el ritme del compte o endurir el punt final, i l’informe d’abús és secundari. Si l’objectiu és un registre que resisteixi l’escrutini, necessites marques de temps, identificadors de petició i un original sense editar guardat en un lloc segur. Si l’objectiu és un nom darrere l’adreça, necessites el procés legal de l’operador o una ordre judicial, i cap reclamació privada el substitueix.

Barrejar-los produeix l’informe clàssic inutilitzable: un paràgraf enfadat, cap zona horària, una exigència de dades del subscriptor i cap indicació del que el destinatari podria fer encara que volgués ajudar. Aquest informe es tanca sense acció, i el remitent conclou que les meses d’abús no fan res. El destinatari no tenia res sobre què actuar.

Escriu les tres respostes abans d’obrir el correu. Fixen el to, la longitud i la petició.

Què demostra l’adreça de sortida i què no

Una adreça associada a una VPN et diu on va entrar el trànsit a internet, no qui el va originar. Una sortida comercial la comparteixen molts clients alhora, i un NAT de nivell operador al davant pot compartir una adreça pública entre milers de subscriptors fent servir rangs de ports. L’RFC 6269 descriu aquest model de compartició d’adreces, i la conseqüència pràctica és que l’adreça d’origen més una marca de temps només poden identificar un subscriptor si l’operador encara conserva la correspondència per a aquell moment.

Registra el que pots demostrar. Això vol dir la marca de temps en UTC amb la zona original anotada, l’adreça d’origen, el port d’origen, el protocol i l’identificador de petició, i si l’acció va venir d’un compte autenticat o d’una petició anònima. Conserva el registre cru i després fes una còpia editada per al destinatari. Una captura de pantalla és un substitut pobre de la línia original del registre.

Les finestres de retenció són curtes i varien segons l’operador. Com més aviat preguntis, més probable és que la correspondència encara existeixi, i aquest és l’argument principal per denunciar de pressa fins i tot quan ja has mitigat el problema.

Tria el canal que realment pot actuar

Hi ha tres canals i no són intercanviables. La mesa d’abús de l’operador de sortida pot investigar el seu propi client i pot suspendre el compte. El contacte de registre del rang d’adreces et pot indicar l’operador correcte quan el registre whois és obsolet o pertany a un revendedor. Les forces de l’ordre tracten sospites de delicte, amenaces i compromisos greus, i només aquest canal pot obligar a revelar informació en la majoria de jurisdiccions.

Dues condicions trien el canal. L’incident és en curs, cosa que afavoreix mitigar primer i denunciar en paral·lel, o és històric, cosa que afavoreix preservar les proves abans que res? Necessites que el trànsit s’aturi, cosa que qualsevol dels tres pot influir, o necessites una identitat, que només pot produir la via legal? Una tercera condició decideix quant detall enviar: un operador que gestiona la sortida necessita especificitats tècniques, mentre que un contacte de registre només necessita el rang d’adreces i el problema.

Quan l’incident és un delicte en curs, la mesa d’abús i les autoritats no són alternatives. Denuncia a les dues i avisa l’operador que pot seguir una sol·licitud legal perquè s’activi la seva pròpia política de retenció.

Escriu l’informe sobre el qual el destinatari pot actuar

Mantingues el missatge prou curt per llegir-lo en un minut. Un paràgraf diu què va passar i quan, un bloc llista les proves amb marques de temps exactes, una línia diu què has fet ja i una línia diu què demanes. Posa la petició de referència del cas al final perquè un analista ocupat pugui respondre amb un número en lloc d’una conversa.

Treu els secrets de la còpia que envies. Contrasenyes, testimonis de sessió, dades personals no relacionades i noms d’amfitrió interns no ajuden el destinatari i augmenten la teva pròpia exposició. Conserva l’original sense editar en un lloc amb accés restringit i un hash registrat si l’incident pot esdevenir prova legal. Les ordres següents recullen els fets públics sobre una adreça abans que escriguis res.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Substitueix l’adreça que has observat realment, i tingues en compte que un rang de documentació com el d’abans no retornarà un registre viu. Si la sortida de whois anomena un proveïdor d’allotjament en lloc de la marca VPN, aquest proveïdor és el destinatari correcte, perquè té l’assignació de l’adreça i la relació amb el client.

Gestiona la resposta i conserva el registre

El silenci no vol dir que no hagi passat res. Els operadors actuen rutinàriament sobre un informe sense dir-ho al denunciant, tant perquè no poden revelar informació del client com perquè la seva política ho pot prohibir. Un reconeixement breu amb un número de cas és el màxim que hauries d’esperar, i una petició de més detall tècnic és un bon senyal, no un retard.

No publiquis una acusació contra una adreça o un proveïdor mentre un informe estigui obert. Anomenar culpable una sortida compartida castiga tots els altres clients d’aquella sortida i pot perjudicar el cas si més endavant arriba a un procés legal. La guia de NIST per a la resposta a incidents tracta la procedència i la confidencialitat dels registres d’incident com a part de la resposta, no com a paperassa posterior.

Tanca el cercle en els teus propis registres: què has enviat, a qui, quan i què ha canviat com a resultat. Aquesta història és el que converteix el proper incident d’una correguda en un procediment amb un primer pas conegut.