Jak nahlásit zneužívání z výstupu VPN

Provoz z výstupu VPN může být zneužívající, aniž by vám řekl, kdo ho poslal, a zpráva, kterou píšete, závisí na tom, na kterou ze tří otázek odpovídáte. Zastavit provoz je dnes váš úkol. Uchování důkazů je postup. Identifikace osoby vyžaduje právní proces, který pravděpodobně nemáte. Hlášení selhávají, když se tyto tři smíchají do jedné stížnosti, protože příjemce může jednat jen v části, kterou vlastní.

Nejprve oddělte tři otázky

Začněte tím, jaký výsledek chcete. Pokud je cílem zastavit požadavky, můžete dnes zablokovat rozsah adres, omezit účet nebo zpřísnit koncový bod a hlášení zneužití je vedlejší. Pokud je cílem záznam, který obstojí při kontrole, potřebujete časová razítka, identifikátory požadavků a needitovaný originál uložený na bezpečném místě. Pokud je cílem jméno za adresou, potřebujete právní proces operátora nebo soudní příkaz a žádná soukromá stížnost to nenahradí.

Jejich smícháním vzniká klasické nepoužitelné hlášení: rozzlobený odstavec, žádné časové pásmo, požadavek na údaje o účastníkovi a žádná známka toho, co by příjemce mohl udělat, i kdyby chtěl pomoci. Takové hlášení se uzavře bez jednání a odesílatel dojde k závěru, že abuse desk nic nedělá. Příjemce neměl nic, na co by mohl jednat.

Napište tři odpovědi, než otevřete e-mail. Určují tón, délku i žádost.

Co adresa výstupu dokazuje a co ne

Adresa spojená s VPN vám říká, odkud provoz vstoupil do internetu, ne kdo ho zahájil. Komerční výstup sdílí mnoho zákazníků současně a NAT na úrovni operátora před ním může sdílet jednu veřejnou adresu mezi tisíce účastníků pomocí rozsahů portů. RFC 6269 tento model sdílení adres popisuje a praktickým důsledkem je, že zdrojová adresa plus časové razítko mohou identifikovat účastníka jen tehdy, pokud operátor mapování pro daný okamžik stále uchovává.

Zaznamenejte, co můžete prokázat. To znamená časové razítko v UTC s poznamenanou původní zónou, zdrojovou adresu, zdrojový port, protokol a identifikátor požadavku a zda akce přišla z ověřeného účtu, nebo ze anonymního požadavku. Uchovejte surový záznam a potom pro příjemce vytvořte redigovanou kopii. Screenshot je špatná náhrada původního řádku v logu.

Doby uchování jsou krátké a liší se podle operátora. Čím dříve se zeptáte, tím pravděpodobnější je, že mapování ještě existuje, a to je hlavní argument pro rychlé nahlášení, i když jste problém už zmírnili.

Vyberte kanál, který skutečně může jednat

Existují tři kanály a nejsou zaměnitelné. Abuse desk operátora výstupu může vyšetřit vlastního zákazníka a může účet pozastavit. Kontakt registru pro rozsah adres vás může nasměrovat na správného operátora, když je záznam whois zastaralý nebo patří překupníkovi. Orgány činné v trestním řízení řeší podezření na trestný čin, hrozby a vážné kompromitace a jen tento kanál může ve většině jurisdikcí vynutit zveřejnění.

Kanál vybírají dvě podmínky. Je incident probíhající, což mluví pro nejprve zmírnění a paralelní hlášení, nebo historický, což mluví pro uchování důkazů především? Potřebujete, aby provoz přestal, což může ovlivnit kterýkoli ze tří, nebo potřebujete identitu, kterou může dát jen právní cesta? Třetí podmínka rozhoduje, kolik detailů poslat: operátor, který výstup provozuje, potřebuje technické podrobnosti, zatímco kontakt registru potřebuje jen rozsah adres a problém.

Když je incident probíhající trestný čin, abuse desk a úřady nejsou alternativy. Nahlaste oběma a dejte operátorovi vědět, že může následovat právní žádost, aby se aktivovala jeho vlastní politika uchování.

Napište hlášení, na které příjemce může jednat

Držte zprávu tak krátkou, aby se dala přečíst za minutu. Jeden odstavec říká, co se stalo a kdy, jeden blok vypisuje důkazy s přesnými časovými razítky, jeden řádek říká, co jste už udělali, a jeden řádek, o co žádáte. Žádost o referenční číslo případu dejte na konec, aby zaneprázdněný analytik mohl odpovědět číslem místo konverzace.

Odstraňte z kopie, kterou posíláte, tajemství. Hesla, session tokeny, nesouvisející osobní údaje a interní názvy hostitelů příjemci nepomohou a zvyšují vaše vlastní vystavení. Needitovaný originál uchovávejte na místě s omezeným přístupem a zaznamenaným hashem, pokud se incident může stát právním důkazem. Níže uvedené příkazy shromažďují veřejná fakta o adrese, než něco napíšete.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Dosaďte adresu, kterou jste skutečně pozorovali, a mějte na paměti, že dokumentační rozsah jako ten výše nevrátí živý záznam. Pokud výstup whois uvádí poskytovatele hostingu místo značky VPN, správným příjemcem je tento poskytovatel, protože drží přidělení adresy a vztah se zákazníkem.

Vyřiďte odpověď a uchovejte záznam

Ticho neznamená, že se nic nestalo. Operátoři běžně jednají na základě hlášení, aniž by o tom zpravodaje informovali, jednak proto, že nemohou zveřejnit informace o zákazníkovi, jednak proto, že jim to jejich politika může zakazovat. Krátké potvrzení s číslem případu je maximum, které máte očekávat, a žádost o další technické podrobnosti je dobrý znak, ne zdržení.

Nezveřejňujte obvinění proti adrese nebo poskytovateli, dokud je hlášení otevřené. Označit sdílený výstup za viníka trestá každého dalšího zákazníka tohoto výstupu a může poškodit případ, pokud se později dostane k právnímu procesu. Pokyny NIST pro reakci na incidenty považují původ a důvěrnost záznamů o incidentu za součást reakce, ne za papírování po ní.

Uzavřete smyčku ve svých záznamech: co jste poslali, komu, kdy a co se tím změnilo. Právě tato historie mění další incident ze zmatku v postup se známým prvním krokem.