Sut i adrodd am draffig camdriniol sy’n dod o allfa VPN

Gall traffig o allfa VPN fod yn gamdriniol heb ddweud wrthych pwy a’i hanfonodd, ac mae’r adroddiad a ysgrifennwch yn dibynnu ar ba un o’r tri chwestiwn yr ydych yn ei ateb. Eich gwaith chi yw atal y traffig heddiw. Mae cadw’r dystiolaeth yn weithdrefn. Mae adnabod person yn gofyn am broses gyfreithiol nad oes gennych yn ôl pob tebyg. Mae adroddiadau’n methu pan fydd y tri hyn yn cael eu cymysgu’n un gŵyn, oherwydd dim ond ar y rhan y mae’n berchen arni y gall y derbynnydd weithredu.

Gwahanwch y tri chwestiwn yn gyntaf

Dechreuwch drwy benderfynu pa ganlyniad yr ydych ei eisiau. Os mai’r nod yw atal y ceisiadau, gallwch heddiw rwystro’r amrediad cyfeiriadau, cyfyngu ar gyfradd y cyfrif neu dynhau’r pen draw, ac mae’r adroddiad camdriniaeth yn eilradd. Os mai’r nod yw cofnod sy’n gwrthsefyll craffu, mae angen stampiau amser, dynodyddion cais a chopi gwreiddiol heb ei olygu wedi’i gadw yn rhywle diogel. Os mai’r nod yw enw y tu ôl i’r cyfeiriad, mae angen proses gyfreithiol y gweithredwr neu orchymyn llys, ac nid oes unrhyw gŵyn breifat yn cymryd lle hynny.

Mae eu cymysgu yn cynhyrchu’r adroddiad diwerth clasurol: paragraff dig, dim cylchfa amser, galw am fanylion y tanysgrifydd, a dim arwydd o’r hyn y gallai’r derbynnydd ei wneud hyd yn oed pe bai am helpu. Mae’r adroddiad hwnnw’n cael ei gau heb weithredu, ac mae’r anfonwr yn dod i’r casgliad nad yw desgiau camdriniaeth yn gwneud dim. Nid oedd gan y derbynnydd unrhyw beth y gellid gweithredu arno.

Ysgrifennwch y tri ateb cyn agor yr e-bost. Maent yn gosod y tôn, y hyd a’r cais.

Beth mae cyfeiriad yr allfa yn ei brofi a beth nad yw’n ei brofi

Mae cyfeiriad sy’n gysylltiedig â VPN yn dweud wrthych ble yr aeth y traffig i mewn i’r rhyngrwyd, nid pwy a’i dechreuodd. Mae allfa fasnachol yn cael ei rhannu gan lawer o gwsmeriaid ar unwaith, a gall NAT ar raddfa cludwr o’i blaen rannu un cyfeiriad cyhoeddus rhwng miloedd o danysgrifwyr gan ddefnyddio amrediadau porthladd. Mae RFC 6269 yn disgrifio’r model rhannu cyfeiriadau hwnnw, a’r canlyniad ymarferol yw mai dim ond os yw’r gweithredwr yn dal i gadw’r mapio ar gyfer y foment honno y gall y cyfeiriad ffynhonnell a stamp amser adnabod tanysgrifydd.

Cofnodwch yr hyn y gallwch ei brofi. Mae hynny’n golygu’r stamp amser yn UTC gyda’r parth gwreiddiol wedi’i nodi, y cyfeiriad ffynhonnell, y porthladd ffynhonnell, y protocol a dynodydd y cais, a ph’un a ddaeth y weithred o gyfrif dilys neu o gais anhysbys. Cadwch y cofnod crai, yna gwnewch gopi wedi’i olygu ar gyfer y derbynnydd. Mae sgrinlun yn ddewis gwael yn lle’r llinell wreiddiol yn y log.

Mae’r ffenestri cadw yn fyr ac yn amrywio rhwng gweithredwyr. Po gyntaf y gofynnwch, y mwyaf tebygol yw bod y mapio’n dal i fodoli, a dyma’r prif reswm dros adrodd yn gyflym hyd yn oed pan fyddwch eisoes wedi lliniaru’r broblem.

Dewiswch y sianel sy’n gallu gweithredu mewn gwirionedd

Mae tair sianel ac nid ydynt yn gyfnewidiol. Gall desg gamdriniaeth gweithredwr yr allfa ymchwilio i’w gwsmer ei hun ac efallai atal y cyfrif. Gall cyswllt cofrestrfa’r amrediad cyfeiriadau eich cyfeirio at y gweithredwr cywir pan fydd y cofnod whois yn hen neu’n perthyn i ailwerthwr. Mae’r heddlu a chyrff gorfodaeth yn ymdrin â throsedd a amheuir, bygythiadau a chyfaddawd difrifol, a dim ond y sianel honno all orfodi datgelu yn y rhan fwyaf o awdurdodaethau.

Mae dwy amod yn dewis y sianel. A yw’r digwyddiad yn parhau, sy’n dadlau dros liniaru’n gyntaf ac adrodd yn gyfochrog, neu’n hanesyddol, sy’n dadlau dros gadw tystiolaeth cyn unrhyw beth arall? A oes angen i’r traffig stopio, y gall unrhyw un o’r tri ddylanwadu arno, neu a oes angen hunaniaeth arnoch, na all ond y llwybr cyfreithiol ei chynhyrchu? Mae trydedd amod yn penderfynu faint o fanylion i’w hanfon: mae angen manylion technegol ar weithredwr sy’n rhedeg yr allfa, tra mai dim ond yr amrediad cyfeiriadau a’r broblem sydd eu hangen ar gyswllt cofrestrfa.

Pan fo’r digwyddiad yn drosedd sy’n digwydd, nid yw desg gamdriniaeth a’r awdurdodau yn ddewisiadau amgen. Adroddwch i’r ddau, a rhowch wybod i’r gweithredwr y gall cais cyfreithiol ddilyn fel y bydd ei bolisi cadw ei hun yn cael ei sbarduno.

Ysgrifennwch yr adroddiad y gall y derbynnydd weithredu arno

Cadwch y neges yn ddigon byr i’w darllen mewn munud. Mae un paragraff yn nodi beth ddigwyddodd a phryd, mae un bloc yn rhestru’r dystiolaeth gyda stampiau amser manwl, mae un llinell yn nodi’r hyn yr ydych eisoes wedi’i wneud, ac mae un llinell yn nodi’r hyn yr ydych yn gofyn amdano. Rhowch y cais am gyfeirnod achos ar y diwedd fel y gall dadansoddwr prysur ateb â rhif yn lle sgwrs.

Tynnwch gyfrinachau o’r gopi a anfonwch. Nid yw cyfrineiriau, tocynnau sesiwn, data personol di-nod a enwau gwesteiwyr mewnol yn helpu’r derbynnydd ac maent yn cynyddu eich datguddiad eich hun. Cadwch y gwreiddiol heb ei olygu mewn lleoliad â mynediad cyfyngedig a hash wedi’i gofnodi os gall y digwyddiad ddod yn dystiolaeth gyfreithiol. Mae’r gorchmynion isod yn casglu’r ffeithiau cyhoeddus am gyfeiriad cyn i chi ysgrifennu unrhyw beth.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Amnewidiwch y cyfeiriad a arsylwyd gennych mewn gwirionedd, a sylwch na fydd amrediad dogfennaeth fel yr un uchod yn dychwelyd cofnod byw. Os yw allbwn whois yn enwi darparwr lletya yn hytrach na brand VPN, y darparwr hwnnw yw’r derbynnydd cywir, oherwydd mae’n dal y dyrannu cyfeiriad a’r berthynas â’r cwsmer.

Triniwch yr ateb a chadw’r cofnod

Nid yw distawrwydd yn golygu na ddigwyddodd dim. Mae gweithredwyr yn gweithredu ar adroddiad yn rheolaidd heb ddweud wrth yr adroddwr, naill ai oherwydd na allant ddatgelu gwybodaeth cwsmer naill ai oherwydd y gall eu polisi ei wahardd. Cydnabyddiaeth fer â rhif achos yw’r mwyaf y dylech ei ddisgwyl, ac mae cais am fwy o fanylion technegol yn arwydd da yn hytrach nag oedi.

Peidiwch â chyhoeddi cyhuddiad yn erbyn cyfeiriad neu ddarparwr tra bo adroddiad yn agored. Mae enwi allfa a rennir fel y drwg yn cosbi pob cwsmer arall o’r allfa honno ac yn gallu rhagfarnu’r achos os bydd yn cyrraedd proses gyfreithiol yn ddiweddarach. Mae canllaw ymateb i ddigwyddiadau NIST yn trin tarddiad a chyfrinachedd cofnodion digwyddiad fel rhan o’r ymateb, nid fel papurau wedi hynny.

Caewch y gylch yn eich cofnodion eich hun: beth a anfonwyd gennych, at bwy, pryd, a beth a newidiodd o ganlyniad. Yr hanes hwnnw sy’n troi’r digwyddiad nesaf o fod yn garlam i fod yn weithdrefn â cham cyntaf hysbys.