Sådan anmelder du misbrugstrafik fra en VPN-udgang

Trafik fra en VPN-udgang kan være misbrug uden at fortælle dig, hvem der sendte den, og den anmeldelse, du skriver, afhænger af, hvilket af tre spørgsmål du besvarer. At stoppe trafikken er dit eget arbejde i dag. At bevare dokumentationen er en procedure. At identificere en person kræver en retslig proces, som du sandsynligvis ikke har. Anmeldelser mislykkes, når de tre blandes sammen i én klage, fordi modtageren kun kan handle på den del, den ejer.

Skeln de tre spørgsmål fra hinanden først

Begynd med at beslutte, hvilket resultat du vil have. Hvis målet er at stoppe forespørgslerne, kan du i dag blokere adresseområdet, begrænse kontoen eller stramme endepunktet, og misbrugsanmeldelsen er sekundær. Hvis målet er en registrering, der holder ved en granskning, har du brug for tidsstempler, anmodnings-id'er og en uredigeret original opbevaret et sikkert sted. Hvis målet er et navn bag adressen, har du brug for operatørens retslige proces eller en retskendelse, og ingen privat klage erstatter den.

Blander man dem, får man den klassiske ubrugelige anmeldelse: et vredt afsnit, ingen tidszone, et krav om abonnentoplysninger og ingen antydning af, hvad modtageren kunne gøre, selv hvis den gerne ville hjælpe. Den anmeldelse lukkes uden handling, og afsenderen konkluderer, at misbrugsdeskene intet gør. Modtageren havde intet at handle på.

Skriv de tre svar ned, før du åbner e-mailen. De sætter tonen, længden og anmodningen.

Hvad udgangsadressen beviser, og hvad den ikke beviser

En adresse, der er knyttet til en VPN, fortæller dig, hvor trafikken kom ind på internettet, ikke hvem der skabte den. En kommerciel udgang deles af mange kunder på én gang, og en carrier-grade NAT foran den kan dele én offentlig adresse mellem tusinder af abonnenter ved hjælp af portområder. RFC 6269 beskriver den model for adressedeling, og den praktiske konsekvens er, at kildeadressen plus et tidsstempel kun kan identificere en abonnent, hvis operatøren stadig har mappingen for det øjeblik.

Registrér det, du kan bevise. Det betyder tidsstemplet i UTC med den oprindelige zone noteret, kildeadressen, kildeporten, protokollen og anmodnings-id'et, og om handlingen kom fra en autentificeret konto eller en anonym anmodning. Gem den rå registrering, og lav derefter en redigeret kopi til modtageren. Et skærmbillede er en dårlig erstatning for den originale linje i loggen.

Opbevaringsvinduerne er korte og varierer fra operatør til operatør. Jo før du spørger, jo større er sandsynligheden for, at mappingen stadig findes, og det er hovedargumentet for at anmelde hurtigt, også når du allerede har afhjulpet problemet.

Vælg den kanal, der faktisk kan handle

Der findes tre kanaler, og de kan ikke udskiftes. Udgangsoperatørens misbrugsdesk kan undersøge sin egen kunde og kan suspendere kontoen. Registerkontakten for adresseområdet kan pege dig mod den rigtige operatør, når whois-posten er forældet eller tilhører en forhandler. Retshåndhævelsen håndterer mistænkt kriminalitet, trusler og alvorlige kompromitteringer, og kun den kanal kan gennemtvinge videregivelse i de fleste jurisdiktioner.

To forhold vælger kanalen. Er hændelsen i gang, hvilket taler for afhjælpning først og anmeldelse parallelt, eller er den historisk, hvilket taler for at bevare dokumentationen før alt andet? Har du brug for, at trafikken stopper, hvilket alle tre kan påvirke, eller har du brug for en identitet, som kun den retslige vej kan give? Et tredje forhold afgør, hvor mange detaljer du sender: en operatør, der driver udgangen, har brug for tekniske detaljer, mens en registerkontakt kun har brug for adresseområdet og problemet.

Når hændelsen er en forbrydelse under udførelse, er misbrugsdesken og myndighederne ikke alternativer. Anmeld til begge, og lad operatøren vide, at en retslig anmodning kan følge, så dens egen opbevaringspolitik udløses.

Skriv den anmeldelse, modtageren kan handle på

Hold beskeden kort nok til at læse på et minut. Et afsnit siger, hvad der skete og hvornår, en blok lister dokumentationen med præcise tidsstempler, en linje siger, hvad du allerede har gjort, og en linje siger, hvad du beder om. Sæt anmodningen om et sagsnummer til sidst, så en travl analytiker kan svare med et nummer i stedet for en samtale.

Fjern hemmeligheder fra den kopi, du sender. Adgangskoder, sessionstokener, uvedkommende personoplysninger og interne værtsnavne hjælper ikke modtageren og øger din egen eksponering. Opbevar den uredigerede original et sted med begrænset adgang og en registreret hash, hvis hændelsen kan blive retsligt bevis. Kommandoerne nedenfor indsamler de offentlige fakta om en adresse, før du skriver noget.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Erstat den adresse, du faktisk observerede, og bemærk, at et dokumentationsområde som det ovenstående ikke returnerer en levende post. Hvis whois-outputtet nævner en hostingudbyder i stedet for VPN-mærket, er den udbyder den rigtige modtager, fordi den har adressetildelingen og kundeforholdet.

Håndtér svaret, og gem registreringen

Stilhed betyder ikke, at der ikke skete noget. Operatører handler rutinemæssigt på en anmeldelse uden at fortælle anmelderen det, både fordi de ikke må videregive kundeoplysninger, og fordi deres politik kan forbyde det. En kort bekræftelse med et sagsnummer er det meste, du bør forvente, og en anmodning om flere tekniske detaljer er et godt tegn snarere end en forsinkelse.

Offentliggør ikke en anklage mod en adresse eller en udbyder, mens en anmeldelse er åben. At udpege en delt udgang som skyldig straffer alle andre kunder på den udgang og kan skade sagen, hvis den senere når en retslig proces. NISTs vejledning i hændelseshåndtering behandler oprindelse og fortrolighed af hændelsesregistreringer som en del af håndteringen, ikke som papirarbejde bagefter.

Luk cirklen i dine egne registreringer: hvad du sendte, til hvem, hvornår, og hvad der ændrede sig som følge af det. Den historik er det, der gør den næste hændelse fra et kaos til en procedure med et kendt første skridt.