Πώς να αναφέρετε κακόβουλη κίνηση που προέρχεται από έξοδο VPN

Η κίνηση από μια έξοδο VPN μπορεί να είναι καταχρηστική χωρίς να σας λέει ποιος την έστειλε, και η αναφορά που γράφετε εξαρτάται από το ποια από τις τρεις ερωτήσεις απαντάτε. Η διακοπή της κίνησης είναι δική σας δουλειά σήμερα. Η διατήρηση των στοιχείων είναι διαδικασία. Η ταυτοποίηση ενός προσώπου απαιτεί νομική διαδικασία που πιθανότατα δεν έχετε. Οι αναφορές αποτυγχάνουν όταν αυτά τα τρία αναμειγνύονται σε ένα παράπονο, επειδή ο παραλήπτης μπορεί να δράσει μόνο στο μέρος που του ανήκει.

Διαχωρίστε πρώτα τις τρεις ερωτήσεις

Ξεκινήστε αποφασίζοντας τι αποτέλεσμα θέλετε. Αν ο στόχος είναι να σταματήσουν τα αιτήματα, μπορείτε σήμερα να αποκλείσετε το εύρος διευθύνσεων, να περιορίσετε τον ρυθμό του λογαριασμού ή να σφίξετε το τελικό σημείο, και η αναφορά κατάχρησης είναι δευτερεύουσα. Αν ο στόχος είναι ένα αρχείο που αντέχει σε έλεγχο, χρειάζεστε χρονόσημα, αναγνωριστικά αιτημάτων και ένα ανέπαφο πρωτότυπο φυλαγμένο σε ασφαλές μέρος. Αν ο στόχος είναι ένα όνομα πίσω από τη διεύθυνση, χρειάζεστε τη νομική διαδικασία του παρόχου ή δικαστική απόφαση, και κανένα ιδιωτικό παράπονο δεν την αντικαθιστά.

Η ανάμειξή τους παράγει την κλασική άχρηστη αναφορά: μια θυμωμένη παράγραφο, καμία ζώνη ώρας, απαίτηση στοιχείων συνδρομητή και καμία ένδειξη για το τι θα μπορούσε να κάνει ο παραλήπτης ακόμη κι αν ήθελε να βοηθήσει. Αυτή η αναφορά κλείνει χωρίς ενέργεια, και ο αποστολέας συμπεραίνει ότι τα γραφεία κατάχρησης δεν κάνουν τίποτα. Ο παραλήπτης δεν είχε τίποτα για να δράσει.

Γράψτε τις τρεις απαντήσεις πριν ανοίξετε το email. Καθορίζουν τον τόνο, το μήκος και το αίτημα.

Τι αποδεικνύει η διεύθυνση εξόδου και τι όχι

Μια διεύθυνση που σχετίζεται με VPN σας λέει από πού μπήκε η κίνηση στο διαδίκτυο, όχι ποιος την ξεκίνησε. Μια εμπορική έξοδος μοιράζεται από πολλούς πελάτες ταυτόχρονα, και ένα NAT φορέα μπροστά της μπορεί να μοιράζει μία δημόσια διεύθυνση σε χιλιάδες συνδρομητές χρησιμοποιώντας εύρη θυρών. Το RFC 6269 περιγράφει αυτό το μοντέλο κοινής χρήσης διευθύνσεων, και η πρακτική συνέπεια είναι ότι η διεύθυνση προέλευσης μαζί με ένα χρονόσημο μπορούν να ταυτοποιήσουν συνδρομητή μόνο αν ο πάροχος κρατά ακόμη την αντιστοίχιση για εκείνη τη στιγμή.

Καταγράψτε ό,τι μπορείτε να αποδείξετε. Αυτό σημαίνει το χρονόσημο σε UTC με σημειωμένη την αρχική ζώνη, τη διεύθυνση προέλευσης, τη θύρα προέλευσης, το πρωτόκολλο και το αναγνωριστικό αιτήματος, και αν η ενέργεια ήρθε από πιστοποιημένο λογαριασμό ή από ανώνυμη αίτηση. Κρατήστε το ακατέργαστο αρχείο και μετά φτιάξτε ένα επεξεργασμένο αντίγραφο για τον παραλήπτη. Το στιγμιότυπο οθόνης είναι κακή αντικατάσταση της αρχικής γραμμής στο αρχείο καταγραφής.

Τα παράθυρα διατήρησης είναι σύντομα και διαφέρουν ανά πάροχο. Όσο πιο γρήγορα ρωτήσετε, τόσο πιο πιθανό είναι η αντιστοίχιση να υπάρχει ακόμη, και αυτό είναι το κύριο επιχείρημα για γρήγορη αναφορά ακόμη και όταν έχετε ήδη μετριάσει το πρόβλημα.

Επιλέξτε το κανάλι που μπορεί πραγματικά να δράσει

Υπάρχουν τρία κανάλια και δεν είναι εναλλάξιμα. Το γραφείο κατάχρησης του παρόχου εξόδου μπορεί να ερευνήσει τον δικό του πελάτη και μπορεί να αναστείλει τον λογαριασμό. Η επαφή του μητρώου για το εύρος διευθύνσεων μπορεί να σας κατευθύνει στον σωστό πάροχο όταν η εγγραφή whois είναι παρωχημένη ή ανήκει σε μεταπωλητή. Οι αρχές επιβολής του νόμου χειρίζονται ύποπτο έγκλημα, απειλές και σοβαρή παραβίαση, και μόνο αυτό το κανάλι μπορεί να εξαναγκάσει αποκάλυψη στις περισσότερες δικαιοδοσίες.

Δύο συνθήκες επιλέγουν το κανάλι. Είναι το περιστατικό σε εξέλιξη, που συνηγορεί υπέρ του μετριασμού πρώτα και της αναφοράς παράλληλα, ή ιστορικό, που συνηγορεί υπέρ της διατήρησης στοιχείων πριν από οτιδήποτε άλλο; Χρειάζεστε να σταματήσει η κίνηση, που μπορούν να επηρεάσουν και τα τρία, ή χρειάζεστε ταυτότητα, που μόνο η νομική οδός μπορεί να δώσει; Μια τρίτη συνθήκη καθορίζει πόση λεπτομέρεια θα στείλετε: ο πάροχος που λειτουργεί την έξοδο χρειάζεται τεχνικές λεπτομέρειες, ενώ η επαφή μητρώου χρειάζεται μόνο το εύρος διευθύνσεων και το πρόβλημα.

Όταν το περιστατικό είναι έγκλημα σε εξέλιξη, το γραφείο κατάχρησης και οι αρχές δεν είναι εναλλακτικές. Αναφέρετε και στα δύο και ενημερώστε τον πάροχο ότι μπορεί να ακολουθήσει νομικό αίτημα, ώστε να ενεργοποιηθεί η δική του πολιτική διατήρησης.

Γράψτε την αναφορά στην οποία μπορεί να δράσει ο παραλήπτης

Κρατήστε το μήνυμα αρκετά σύντομο ώστε να διαβαστεί σε ένα λεπτό. Μια παράγραφος λέει τι συνέβη και πότε, ένα μπλοκ απαριθμεί τα στοιχεία με ακριβή χρονόσημα, μια γραμμή λέει τι έχετε ήδη κάνει και μια γραμμή λέει τι ζητάτε. Βάλτε το αίτημα για αριθμό υπόθεσης στο τέλος, ώστε ένας απασχολημένος αναλυτής να απαντήσει με αριθμό αντί για συζήτηση.

Αφαιρέστε μυστικά από το αντίγραφο που στέλνετε. Κωδικοί πρόσβασης, διακριτικά συνεδρίας, άσχετα προσωπικά δεδομένα και εσωτερικά ονόματα υπολογιστών δεν βοηθούν τον παραλήπτη και αυξάνουν τη δική σας έκθεση. Κρατήστε το ανέπαφο πρωτότυπο σε χώρο με περιορισμένη πρόσβαση και καταγεγραμμένο hash αν το περιστατικό μπορεί να γίνει νομικό στοιχείο. Οι εντολές παρακάτω συλλέγουν τα δημόσια γεγονότα για μια διεύθυνση πριν γράψετε οτιδήποτε.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Αντικαταστήστε τη διεύθυνση που πράγματι παρατηρήσατε, και σημειώστε ότι ένα εύρος τεκμηρίωσης όπως το παραπάνω δεν θα επιστρέψει ζωντανή εγγραφή. Αν η έξοδος του whois αναφέρει πάροχο φιλοξενίας αντί για τη μάρκα VPN, αυτός ο πάροχος είναι ο σωστός παραλήπτης, γιατί κρατά την εκχώρηση της διεύθυνσης και τη σχέση με τον πελάτη.

Χειριστείτε την απάντηση και κρατήστε το αρχείο

Η σιωπή δεν σημαίνει ότι δεν συνέβη τίποτα. Οι πάροχοι συχνά δρουν σε μια αναφορά χωρίς να το πουν στον αναφέροντα, τόσο επειδή δεν μπορούν να αποκαλύψουν πληροφορίες πελάτη όσο και επειδή η πολιτική τους μπορεί να το απαγορεύει. Μια σύντομη επιβεβαίωση με αριθμό υπόθεσης είναι το περισσότερο που πρέπει να περιμένετε, και ένα αίτημα για περισσότερες τεχνικές λεπτομέρειες είναι καλό σημάδι και όχι καθυστέρηση.

Μην δημοσιεύετε κατηγορία εναντίον διεύθυνσης ή παρόχου όσο μια αναφορά είναι ανοιχτή. Το να ονομάσετε μια κοινόχρηστη έξοδο ένοχη τιμωρεί κάθε άλλο πελάτη αυτής της εξόδου και μπορεί να βλάψει την υπόθεση αν αργότερα φτάσει σε νομική διαδικασία. Οι οδηγίες του NIST για την απόκριση σε περιστατικά θεωρούν την προέλευση και την εμπιστευτικότητα των αρχείων περιστατικού μέρος της απόκρισης, όχι γραφειοκρατία μετά από αυτήν.

Κλείστε τον κύκλο στα δικά σας αρχεία: τι στείλατε, σε ποιον, πότε και τι άλλαξε ως αποτέλεσμα. Αυτό το ιστορικό μετατρέπει το επόμενο περιστατικό από πανικό σε διαδικασία με γνωστό πρώτο βήμα.