Wie man Missbrauchsverkehr von einem VPN-Ausgang meldet

Verkehr von einem VPN-Ausgang kann missbräuchlich sein, ohne Ihnen zu sagen, wer ihn gesendet hat, und die Meldung, die Sie schreiben, hängt davon ab, welche von drei Fragen Sie beantworten. Den Verkehr zu stoppen ist heute Ihre Aufgabe. Die Beweise zu sichern ist ein Verfahren. Eine Person zu identifizieren erfordert einen Rechtsweg, den Sie wahrscheinlich nicht haben. Meldungen scheitern, wenn diese drei in einer Beschwerde vermischt werden, denn der Empfänger kann nur auf den Teil reagieren, der ihm gehört.

Trennen Sie zuerst die drei Fragen

Beginnen Sie mit der Entscheidung, welches Ergebnis Sie wollen. Wenn das Ziel ist, die Anfragen zu stoppen, können Sie heute den Adressbereich sperren, das Konto drosseln oder den Endpunkt härten, und die Missbrauchsmeldung ist zweitrangig. Wenn das Ziel ein Datensatz ist, der einer Prüfung standhält, brauchen Sie Zeitstempel, Anforderungskennungen und ein unverändertes Original an einem sicheren Ort. Wenn das Ziel ein Name hinter der Adresse ist, brauchen Sie das Rechtsverfahren des Betreibers oder eine Gerichtsanordnung, und keine private Beschwerde ersetzt das.

Vermischt man sie, entsteht die klassische unbrauchbare Meldung: ein wütender Absatz, keine Zeitzone, eine Forderung nach Teilnehmerdaten und kein Hinweis darauf, was der Empfänger tun könnte, selbst wenn er helfen wollte. Diese Meldung wird ohne Maßnahme geschlossen, und der Absender schließt daraus, dass Missbrauchsstellen nichts tun. Der Empfänger hatte nichts, worauf er hätte reagieren können.

Schreiben Sie die drei Antworten auf, bevor Sie die E-Mail öffnen. Sie bestimmen den Ton, die Länge und das Anliegen.

Was die Ausgangsadresse belegt und was nicht

Eine Adresse, die mit einem VPN verbunden ist, sagt Ihnen, wo der Verkehr ins Internet gelangt ist, nicht wer ihn verursacht hat. Ein kommerzieller Ausgang wird von vielen Kunden gleichzeitig genutzt, und ein Carrier-Grade-NAT davor kann eine öffentliche Adresse über Portbereiche auf Tausende Teilnehmer verteilen. RFC 6269 beschreibt dieses Modell der Adressteilung, und die praktische Folge ist, dass Quelladresse plus Zeitstempel einen Teilnehmer nur dann identifizieren können, wenn der Betreiber die Zuordnung für diesen Moment noch besitzt.

Halten Sie fest, was Sie belegen können. Das bedeutet den Zeitstempel in UTC mit notierter Originalzone, die Quelladresse, den Quellport, das Protokoll und die Anforderungskennung sowie die Angabe, ob die Handlung von einem authentifizierten Konto oder einer anonymen Anforderung kam. Bewahren Sie den Rohdatensatz auf und erstellen Sie dann eine redigierte Kopie für den Empfänger. Ein Screenshot ist ein schlechter Ersatz für die Originalzeile im Protokoll.

Aufbewahrungsfristen sind kurz und unterscheiden sich je nach Betreiber. Je früher Sie fragen, desto wahrscheinlicher existiert die Zuordnung noch, und das ist das Hauptargument für eine schnelle Meldung, auch wenn Sie das Problem bereits entschärft haben.

Wählen Sie den Kanal, der tatsächlich handeln kann

Es gibt drei Kanäle, und sie sind nicht austauschbar. Die Missbrauchsstelle des Ausgangsbetreibers kann seinen eigenen Kunden untersuchen und das Konto sperren. Die Registerkontaktstelle für den Adressbereich kann Sie auf den richtigen Betreiber verweisen, wenn der whois-Eintrag veraltet ist oder einem Wiederverkäufer gehört. Strafverfolgungsbehörden bearbeiten mutmaßliche Straftaten, Drohungen und ernsthafte Kompromittierungen, und nur dieser Kanal kann in den meisten Rechtsordnungen eine Offenlegung erzwingen.

Zwei Bedingungen bestimmen den Kanal. Ist der Vorfall andauernd, was für Minderung zuerst und eine Meldung parallel spricht, oder historisch, was für Beweissicherung vor allem anderen spricht? Brauchen Sie, dass der Verkehr aufhört, worauf alle drei einwirken können, oder brauchen Sie eine Identität, die nur der Rechtsweg liefern kann? Eine dritte Bedingung entscheidet, wie viele Details Sie senden: Ein Betreiber, der den Ausgang führt, braucht technische Angaben, während eine Registerkontaktstelle nur den Adressbereich und das Problem braucht.

Wenn der Vorfall eine laufende Straftat ist, sind Missbrauchsstelle und Behörden keine Alternativen. Melden Sie an beide und teilen Sie dem Betreiber mit, dass ein rechtliches Ersuchen folgen kann, damit seine eigene Aufbewahrungsrichtlinie greift.

Schreiben Sie die Meldung, auf die der Empfänger reagieren kann

Halten Sie die Nachricht kurz genug, um sie in einer Minute zu lesen. Ein Absatz sagt, was wann geschah, ein Block listet die Belege mit genauen Zeitstempeln, eine Zeile sagt, was Sie bereits getan haben, und eine Zeile sagt, was Sie erbitten. Setzen Sie die Bitte um eine Fallnummer an das Ende, damit ein beschäftigter Analyst mit einer Nummer statt mit einem Gespräch antworten kann.

Entfernen Sie Geheimnisse aus der Kopie, die Sie senden. Passwörter, Sitzungstoken, unbezogene personenbezogene Daten und interne Hostnamen helfen dem Empfänger nicht und erhöhen Ihre eigene Exposition. Bewahren Sie das unredigierte Original an einem Ort mit beschränktem Zugriff und einem dokumentierten Hash auf, wenn der Vorfall zu einem Rechtsbeweis werden kann. Die folgenden Befehle sammeln die öffentlichen Fakten über eine Adresse, bevor Sie etwas schreiben.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Ersetzen Sie die Adresse, die Sie tatsächlich beobachtet haben, und beachten Sie, dass ein Dokumentationsbereich wie der obige keinen echten Datensatz liefert. Wenn die whois-Ausgabe einen Hosting-Anbieter statt der VPN-Marke nennt, ist dieser Anbieter der richtige Empfänger, denn er hält die Adresszuweisung und die Kundenbeziehung.

Behandeln Sie die Antwort und bewahren Sie den Datensatz

Schweigen bedeutet nicht, dass nichts geschehen ist. Betreiber handeln routinemäßig auf eine Meldung hin, ohne den Melder zu informieren, sowohl weil sie Kundeninformationen nicht offenlegen dürfen als auch weil ihre Richtlinie es verbieten kann. Eine kurze Bestätigung mit einer Fallnummer ist das Höchste, was Sie erwarten sollten, und eine Bitte um mehr technische Details ist ein gutes Zeichen und keine Verzögerung.

Veröffentlichen Sie keine Anschuldigung gegen eine Adresse oder einen Anbieter, solange eine Meldung offen ist. Einen geteilten Ausgang als Schuldigen zu benennen bestraft jeden anderen Kunden dieses Ausgangs und kann den Fall beeinträchtigen, wenn er später ein Rechtsverfahren erreicht. Die NIST-Leitlinie zur Vorfallreaktion behandelt Herkunft und Vertraulichkeit von Vorfallaufzeichnungen als Teil der Reaktion, nicht als Papierkram danach.

Schließen Sie den Kreis in Ihren eigenen Aufzeichnungen: was Sie gesendet haben, an wen, wann und was sich dadurch geändert hat. Diese Historie macht aus dem nächsten Vorfall ein Verfahren mit einem bekannten ersten Schritt statt eines Durcheinanders.