Έλεγχοι επισκεπτών VPN: ασφαλής βαθμολόγηση φήμης και καθυστέρησης

Ένας πίνακας απάτης επισημαίνει έναν επισκέπτη ως VPN, ο αναλυτής ζητά αποκλεισμό, και το αίτημα φτάνει στην ομάδα πλατφόρμας με τίποτα άλλο παρά μια λογική τιμή προμηθευτή. Αυτή η λογική τιμή είναι εκτίμηση, και αποτυγχάνει σε διαφορετική κατεύθυνση από τη μέτρηση καθυστέρησης. Πριν ενεργήσετε, διαχωρίστε τι αποδεικνύει το ίδιο το αίτημα, τι ισχυρίζεται μια υπηρεσία φήμης, και τι απλώς υποδηλώνει ο χρόνος. Έπειτα διαλέξτε μια απάντηση που μπορείτε να ανακάμψετε όταν η εκτίμηση αποδειχθεί λανθασμένη.

Συλλέξτε τα δεδομένα αιτήματος που μπορείτε να υπερασπιστείτε

Η μόνη διεύθυνση που γνωρίζει με βεβαιότητα ο διακομιστής σας είναι ο ομότιμος TCP που ολοκλήρωσε τη σύνδεση. Όταν ένα CDN ή αντίστροφος διαμεσολαβητής τερματίζει αυτή τη σύνδεση, ο ομότιμος είναι η άκρη, και η διεύθυνση του πελάτη ταξιδεύει σε μια κεφαλίδα προώθησης που είναι αξιόπιστη μόνο όταν την πρόσθεσε η δική σας άκρη. Διαβάστε την καταχώριση που έγραψε ο διαμεσολαβητής σας, ποτέ το αριστερότερο κείμενο, γιατί ο πελάτης μπορεί να στείλει όποια τιμή θέλει σε αυτή τη θέση. Όλα τα επόμενα πρέπει να διατηρήσουν αυτή τη διάκριση.

Δύο φθηνές εμπλουτίσεις κάνουν τη διεύθυνση κάτι εξετάσιμο: το αυτόνομο σύστημα που την ανακοινώνει και η εγγραφή PTR που δείχνει πίσω σε αυτήν. Και οι δύο περιγράφουν καταχώριση και όχι συμπεριφορά, και οι δύο είναι αναπαραγώγιμες αργότερα.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

Ένα ASN φιλοξενίας είναι ισχυρή ένδειξη και όχι ετυμηγορία. Εταιρικοί συγκεντρωτές VPN, έξοδοι cloud και ορισμένα πανεπιστημιακά δίκτυα βρίσκονται επίσης σε κέντρα δεδομένων, οπότε το ίδιο σήμα που πιάνει μια εμπορική έξοδο πιάνει και ένα νόμιμο γραφείο. Κρατήστε τη διεύθυνση μόνο όσο τη χρειάζεται η εξέταση, γιατί μια IP είναι προσωπικό δεδομένο στα περισσότερα καθεστώτα απορρήτου. Διαγράψτε την σε πρόγραμμα αντί να την κρατάτε επ' αόριστον.

Βαθμολογήστε τον επισκέπτη πριν τον περιορίσετε

Εκτελέστε κάθε νέο σήμα πρώτα σε λειτουργία παρατήρησης. Καταγράψτε τις εισόδους και έναν κωδικό αιτίας, αφήστε κάθε αίτημα να περάσει, και συγκρίνετε την κατανομή βαθμολογίας με λογαριασμούς που γνωρίζετε ότι είναι νόμιμοι. Αυτό παράγει εκτίμηση ψευδώς θετικών πριν χάσει κάποιος την πρόσβαση, και αυτός ο αριθμός αποφασίζει αν ένας κανόνας είναι ασφαλές να ενεργοποιηθεί.

Αντιστοιχίστε το σύνολο σε τρεις ενέργειες αντί για δύο: άδεια, πρόκληση αναβάθμισης, χειροκίνητη εξέταση. Ένας μόνιμος αποκλεισμός θα πρέπει να απαιτεί επαναλαμβανόμενη κατάχρηση επιβεβαιωμένη από άνθρωπο, γιατί ένα ψευδώς θετικό σε εταιρικό ταξιδιώτη κοστίζει ένα δελτίο υποστήριξης και μια χαμένη συνεδρία, ενώ ένα ψευδώς αρνητικό σε ένα αίτημα δεν κοστίζει σχεδόν τίποτα.

Κρατήστε την αναζήτηση φήμης στην πλευρά του διακομιστή και φραγμένη

Καλέστε την υπηρεσία φήμης από το backend με σύντομο χρονικό όριο, αποθηκεύστε την ετυμηγορία για σταθερό διάστημα, και αντιμετωπίστε το χρονικό όριο ως άγνωστο αντί για καθαρό. Μην βάζετε ποτέ το κλειδί API σε κώδικα πελάτη, και μην αφήνετε ποτέ την αναζήτηση να μπλοκάρει την απόδοση της σελίδας· ένας αργός τρίτος πρέπει να υποβαθμίζει τη βαθμολογία, όχι τον ιστότοπο.

Αποθηκεύστε ανά διεύθυνση αντί ανά εύρος. Η ταξινόμηση ενός ολόκληρου /24 από μία αναζήτηση διαδίδει λανθασμένη ετυμηγορία σε γείτονες που δεν μετρήσατε ποτέ. Καταγράψτε τον προμηθευτή, την ημερομηνία απόκρισης και την τιμή ταξινόμησης δίπλα στον κωδικό αιτίας, ώστε μια μεταγενέστερη εξέταση να μπορεί να πει ποια κρίση ίσχυε.

Δύο πάροχοι μπορούν να ταξινομήσουν την ίδια διεύθυνση διαφορετικά μέσα σε μια μέρα, γι' αυτό η ετυμηγορία ανήκει στη στήλη αποδεικτικών και όχι στη στήλη ταυτότητας. Είναι επίσης σχέση επεξεργασίας: η αποστολή της διεύθυνσης κάθε επισκέπτη σε τρίτο απαιτεί νόμιμη βάση, κανόνα διατήρησης και μια γραμμή στην ειδοποίηση απορρήτου.

Μετρήστε την καθυστέρηση με διάμεσο, όχι με ένα δείγμα

Ο χρόνος μετάβασης και επιστροφής περιγράφει τη διαδρομή τη στιγμή που τη μετρήσατε. Μια κοντινή άκρη anycast μπορεί να εξυπηρετεί έναν απομακρυσμένο χρήστη, ένα κινητό δίκτυο προσθέτει καθυστέρηση που δεν έχει καμία σχέση με τη γεωγραφία, και μια έξοδος VPN στη χώρα του ίδιου του επισκέπτη φαίνεται τοπική. Η γεωτοποθέτηση σε επίπεδο πόλης αναφέρει συχνά το κέντρο δεδομένων και όχι το πρόσωπο.

Πάρτε πολλά δείγματα και χρησιμοποιήστε τη διάμεσο ώστε ένα αργό αίτημα να μη μετακινεί το αποτέλεσμα. Ο βρόχος παρακάτω εκτυπώνει τη διάμεσο των πέντε.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Συγκρίνετε τον αριθμό με την κατανομή για γνωστά καλούς χρήστες αντί για απόλυτο κατώφλι, και συνδυάστε τον με το ASN. Δύο αδύναμα σήματα που συμφωνούν είναι ισχυρότερα από το καθένα μόνο του, αλλά το συμπέρασμα αφορά ακόμη μια διαδρομή, όχι μια πρόθεση, οπότε ανήκει σε βαθμολογία και όχι σε απαγόρευση.

Αποφασίστε, καταγράψτε και επαναφέρετε

Πριν ενεργοποιήσετε έναν κανόνα, αναπαράγετε μια μέρα κίνησης σε λειτουργία παρατήρησης και μετρήστε τι θα είχε συμβεί. Αποθηκεύστε τις εισόδους βαθμολογίας, τον κωδικό αιτίας και την έκδοση του κανόνα, αλλά κρατήστε τις ακατέργαστες διευθύνσεις μόνο για το παράθυρο εξέτασης. Αν ο κανόνας ενεργοποιηθεί σε νόμιμο λογαριασμό, η εγγραφή πρέπει να εξηγεί γιατί χωρίς δεύτερη έρευνα.

Δώστε σε κάθε κανόνα τον δικό του διακόπτη. Όταν η ολοκλήρωση αναβάθμισης πέσει ή τα δελτία υποστήριξης εκτιναχθούν, απενεργοποιήστε αυτόν τον κανόνα και κρατήστε την υπόλοιπη ροή σε λειτουργία· ένας μόνο παγκόσμιος διακόπτης κάνει ένα πρόβλημα συντονισμού διακοπή λειτουργίας. Μετά την αλλαγή, παρακολουθήστε το ποσοστό ολοκλήρωσης των προκλήσεων και την ουρά ενστάσεων, όχι μόνο τον αριθμό αποκλεισμών.

Τέλος, κρατήστε την απάντηση ανάλογη με τη ζημιά που αποτρέπετε. Στην απάτη διαφημίσεων, η κατάσταση VPN είναι αδύναμο υποκατάστατο για ένα ψεύτικο κλικ, και σήματα συμπεριφοράς όπως τα μοτίβα μετατροπών και η συνέπεια συσκευών αντιμετωπίζουν την πραγματική ζημιά. Μια αναστρέψιμη πρόκληση προστατεύει τα έσοδα και τον πραγματικό χρήστη ταυτόχρονα.