Kuidas teatada VPN-väljundist tulevast kuritarvitavast liiklusest

VPN-väljundist tulev liiklus võib olla kuritarvitav, ütlemata, kes selle saatis, ja teie kirjutatav teade sõltub sellest, millisele kolmest küsimusest vastate. Liikluse peatamine on täna teie töö. Tõendite säilitamine on protseduur. Isiku tuvastamine nõuab õigusprotsessi, mida teil tõenäoliselt ei ole. Teated ebaõnnestuvad, kui need kolm segatakse ühte kaebusse, sest saaja saab tegutseda ainult selle osa osas, mis on tema oma.

Eraldage esmalt kolm küsimust

Alustage otsusega, millist tulemust soovite. Kui eesmärk on päringud peatada, saate täna blokeerida aadressivahemiku, piirata konto sagedust või karmistada lõpp-punkti ning kuritarvitusteade on teisejärguline. Kui eesmärk on kirje, mis peab vastu kontrollimisele, vajate ajatempleid, päringu identifikaatoreid ja muutmata originaali, mis on hoitud turvalises kohas. Kui eesmärk on aadressi taga olev nimi, vajate operaatori õigusprotsessi või kohtumäärust ning ükski erakaebus ei asenda seda.

Nende segamine annab klassikalise kasutuskõlbmatu teate: vihane lõik, ajavöönd puudub, nõue abonendi andmete järele ja mingit vihjet selle kohta, mida saaja võiks teha, isegi kui ta tahaks aidata. See teade suletakse meetmeta, ja saatja järeldab, et kuritarvituste osakonnad ei tee midagi. Saajal polnud midagi, mille alusel tegutseda.

Kirjutage kolm vastust üles enne, kui e-kirja avate. Need määravad tooni, pikkuse ja palve.

Mida väljundiaadress tõestab ja mida mitte

VPN-iga seotud aadress ütleb, kust liiklus internetti sisenes, mitte kes selle algatas. Kommertsiaalset väljundit jagavad korraga paljud kliendid ja selle ees olev operaatoritasandi NAT võib jagada üht avalikku aadressi tuhandete abonentide vahel, kasutades pordivahemikke. RFC 6269 kirjeldab seda aadresside jagamise mudelit ja praktiline tagajärg on see, et lähteaadress koos ajatempliga saavad abonendi tuvastada ainult siis, kui operaatoril on selle hetke vastendus veel olemas.

Registreerige, mida suudate tõestada. See tähendab ajatemplit UTC-s koos märgitud algse vööndiga, lähteaadressi, lähtepordi, protokolli ja päringu identifikaatorit ning seda, kas tegevus tuli autenditud kontolt või anonüümsest päringust. Hoidke toorandmed alles ja tehke seejärel saajale redigeeritud koopia. Ekraanipilt on logi algse rea halb asendaja.

Säilitusaknad on lühikesed ja erinevad operaatoriti. Mida varem küsida, seda tõenäolisem on, et vastendus veel olemas on, ja see on peamine argument kiire teatamise kasuks ka siis, kui olete probleemi juba leevendanud.

Valige kanal, mis suudab tegelikult tegutseda

Kanaleid on kolm ja need ei ole vahetatavad. Väljundi operaatori kuritarvituste osakond saab uurida oma klienti ja võib konto peatada. Aadressivahemiku registri kontakt saab suunata teid õige operaatori juurde, kui whois-kirje on aegunud või kuulub edasimüüjale. Õiguskaitseasutused tegelevad kahtlustatava kuriteo, ähvarduste ja tõsise kompromiteerimisega ning ainult see kanal saab enamikus jurisdiktsioonides avalikustamist nõuda.

Kanalit valivad kaks tingimust. Kas juhtum on käimas, mis räägib leevendamise ja paralleelse teatamise poolt, või on ajalooline, mis räägib tõendite säilitamise poolt enne kõike muud? Kas teil on vaja, et liiklus lakkaks, mida kõik kolm saavad mõjutada, või on teil vaja identiteeti, mida saab anda ainult õigusteekond? Kolmas tingimus otsustab, kui palju üksikasju saata: väljundit haldav operaator vajab tehnilisi üksikasju, samas kui registri kontakt vajab ainult aadressivahemikku ja probleemi.

Kui juhtum on käimasolev kuritegu, ei ole kuritarvituste osakond ja ametiasutused alternatiivid. Teatage mõlemale ja andke operaatorile teada, et võib järgneda õigustaotlus, et tema enda säilituspoliitika käivituks.

Kirjutage teade, mille alusel saaja saab tegutseda

Hoidke sõnum piisavalt lühike, et seda minutiga lugeda. Üks lõik ütleb, mis juhtus ja millal, üks plokk loetleb tõendid täpsete ajatemplitega, üks rida ütleb, mida olete juba teinud, ja üks rida ütleb, mida palute. Pange juhtumi viitenumbri palve lõppu, et hõivatud analüütik saaks vastata numbriga, mitte vestlusega.

Eemaldage saadetavast koopiast saladused. Paroolid, sessioonitokenid, seostamata isikuandmed ja sisemised hostinimed ei aita saajat ning suurendavad teie enda riski. Hoidke redigeerimata originaali piiratud juurdepääsuga kohas ja registreeritud räsiga, kui juhtum võib muutuda õiguslikuks tõendiks. Allolevad käsud koguvad aadressi kohta avalikud faktid enne, kui midagi kirjutate.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Asendage aadress, mida tegelikult jälgisite, ja pidage meeles, et ülaltoodud dokumentatsioonivahemik ei tagasta elusat kirjet. Kui whois-väljund nimetab VPN-brändi asemel majutusteenuse pakkujat, on see pakkuja õige saaja, sest tema käes on aadressi eraldamine ja kliendisuhe.

Käsitlege vastust ja hoidke kirjet

Vaikus ei tähenda, et midagi ei juhtunud. Operaatorid tegutsevad rutiinselt teate alusel, teatamata sellest teatajale, nii sellepärast, et nad ei saa kliendiinfot avaldada, kui ka sellepärast, et nende poliitika võib selle keelata. Lühike kinnitus juhtuminumbriga on maksimum, mida peaksite ootama, ja palve saata rohkem tehnilisi üksikasju on hea märk, mitte viivitus.

Ärge avaldage süüdistust aadressi ega pakkuja vastu, kuni teade on avatud. Jagatud väljundi süüdlaseks nimetamine karistab selle väljundi kõiki teisi kliente ja võib juhtumit kahjustada, kui see jõuab hiljem õigusprotsessi. NISTi juhtumitele reageerimise juhis käsitleb juhtumikirjete päritolu ja konfidentsiaalsust reageerimise osana, mitte pärast seda tehtava paberitööna.

Sulgege ring oma kirjetes: mida saatsite, kellele, millal ja mis selle tulemusel muutus. Just see ajalugu muudab järgmise juhtumi segadusest protseduuriks, mille esimene samm on teada.