Kontroloj de VPN-vizitantoj: sekure taksi reputacion kaj latenton

Fraŭda panelo markas vizitanton kiel VPN, la analizisto petas blokon, kaj la peto atingas la platforman teamon kun nenio krom bulea valoro de vendanto. Tiu bulea valoro estas takso, kaj ĝi malsukcesas en alia direkto ol latenta mezurado. Antaŭ agi, apartigu kion la peto mem pruvas, kion asertas reputacia servo, kaj kion nur sugestas la tempo. Poste elektu respondon, kiun vi povas malfari kiam la takso montriĝas malĝusta.

Kolektu la petajn faktojn, kiujn vi povas defendi

La sola adreso, kiun via servilo certe konas, estas la TCP-parulo, kiu kompletigis la konekton. Kiam CDN aŭ inversa prokura servilo finigas tiun konekton, la parulo estas la rando, kaj la klienta adreso veturas en plusenda kaplinio, kiu estas fidinda nur kiam via propra rando aldonis ĝin. Legu la eron, kiun via prokura servilo skribis, neniam la plej maldekstran signoĉenon, ĉar kliento povas sendi ajnan valoron, kiun ĝi volas, en tiu pozicio. Ĉio malsupra devas konservi tiun distingon.

Du malmultekostaj riĉigoj igas la adreson io revisebla: la aŭtonoma sistemo, kiu anoncas ĝin, kaj la PTR-rikordo, kiu montras reen al ĝi. Ambaŭ priskribas registradon anstataŭ konduton, kaj ambaŭ estas reprodukteblaj poste.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

Gastiga ASN estas forta indiko kaj ne verdikto. Entreprenaj VPN-koncentriloj, nubaj eliroj kaj kelkaj universitataj retoj ankaŭ sidas en datumcentroj, do la sama signalo, kiu kaptas komercan eliron, kaptas ankaŭ legitiman oficejon. Konservu la adreson nur tiom longe, kiom la revizio bezonas ĝin, ĉar IP estas persona datumo en plej multaj privatecaj reĝimoj. Forigu ĝin laŭ horaro anstataŭ teni ĝin senfine.

Taksu la vizitanton antaŭ ol limigi ĝin

Rulu ĉiun novan signalon unue en observeja reĝimo. Registru la enigojn kaj kialan kodon, lasu ĉiun peton pasi, kaj komparu la poentodistribuon kun kontoj, kiujn vi scias esti legitimaj. Tio produktas takson de falsaj pozitivoj antaŭ ol iu perdas aliron, kaj ĝuste tiu nombro decidas, ĉu regulo estas sekura por ebligi.

Mapu la sumon al tri agoj anstataŭ du: permesi, plialtiga defio, permana revizio. Konstanta blokado devus postuli ripetan misuzon konfirmitan de persono, ĉar falsa pozitivo ĉe entreprena vojaĝanto kostas subtenan bileton kaj perditan sesion, dum falsa negativo ĉe unu peto kostas preskaŭ nenion.

Tenu la reputacian serĉon ĉe la servilo kaj limigita

Voku la reputacian servon el la malantaŭa tavolo kun mallonga tempolimo, kaŝmemoru la verdikton por fiksa periodo, kaj traktu tempolimon kiel nekonatan anstataŭ pura. Neniam metu la API-ŝlosilon en klientan kodon, kaj neniam lasu la serĉon bloki la paĝan bildigon; malrapida tria partio devus malbonigi la poenton, ne la retejon.

Kaŝmemoru laŭ adreso anstataŭ laŭ gamo. Klasifiki tutan /24 el unu serĉo disvastigas malĝustan verdikton al najbaroj, kiujn vi neniam mezuris. Registru la vendanton, la respondan daton kaj la klasifikadan valoron apud la kiala kodo, por ke posta revizio povu scii, kiu juĝo validis.

Du provizantoj povas klasifiki unu adreson malsame ene de unu tago, tial la verdikto apartenas al la pruva kolumno kaj ne al la identa kolumno. Ĝi ankaŭ estas prilabora rilato: sendi la adreson de ĉiu vizitanto al tria partio bezonas laŭleĝan bazon, retenregularon kaj linion en la privateca avizo.

Mezuru latenton per mediano, ne per unu specimeno

La reira tempo priskribas la vojon en la momento, kiam vi mezuris ĝin. Proksima anycast-rando povas servi malproksiman uzanton, poŝtelefona reto aldonas prokraston, kiu havas nenion komunan kun geografio, kaj VPN-eliro en la propra lando de la vizitanto aspektas loka. Urb-nivela geolokigo ofte raportas la datumcentron anstataŭ la personon.

Prenu plurajn specimenojn kaj uzu la medianon, por ke unu malrapida peto ne movu la rezulton. La suba buklo presas la medianon de kvin.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Komparu la nombron kun la distribuo por konataj bonaj uzantoj anstataŭ absoluta sojlo, kaj kombinu ĝin kun la ASN. Du malfortaj signaloj, kiuj konsentas, estas pli fortaj ol ĉiu sola, sed la konkludo ankoraŭ temas pri vojo, ne pri intenco, do ĝi apartenas al poento anstataŭ al malpermeso.

Decidu, registru kaj malfaru

Antaŭ ol ebligi regulon, reludu unu tagon da trafiko en observeja reĝimo kaj kalkulu, kio okazus. Konservu la poentajn enigojn, la kialan kodon kaj la regulan version, sed tenu krudajn adresojn nur por la revizia fenestro. Se la regulo ekbrulas ĉe legitima konto, la rikordo devus klarigi kial sen dua esploro.

Donu al ĉiu regulo sian propran ŝaltilon. Kiam la plialtiga kompletigo falas aŭ subtenaj biletoj eksplodas, malŝaltu tiun regulon kaj lasu la reston de la ĉeno funkcii; unu tutmonda panika ŝaltilo igas agordan problemon paneo. Post la ŝanĝo, observu la kompletigan indicon de defioj kaj la apelacian vicon, ne nur la blokan nombron.

Finfine, tenu la respondon proporcia al la perdo, kiun vi malhelpas. En reklama fraŭdo, VPN-stato estas malforta prokuro por falsa klako, kaj kondutaj signaloj kiel konvertaj ŝablonoj kaj aparata konsisto traktas la realan damaĝon. Inversigebla defio protektas la enspezon kaj la realan uzanton samtempe.