Miten ilmoittaa VPN-poistumisesta tulevasta väärinkäyttöliikenteestä

VPN-poistumisesta tuleva liikenne voi olla väärinkäyttöä kertomatta sinulle, kuka sen lähetti, ja kirjoittamasi ilmoitus riippuu siitä, mihin kolmesta kysymyksestä vastaat. Liikenteen pysäyttäminen on sinun työsi tänään. Todisteiden säilyttäminen on menettely. Henkilön tunnistaminen vaatii oikeusprosessin, jota sinulla ei todennäköisesti ole. Ilmoitukset epäonnistuvat, kun nämä kolme sekoitetaan yhteen valitukseen, koska vastaanottaja voi toimia vain siinä osassa, joka on hänen.

Erota kolme kysymystä ensin

Aloita päättämällä, minkä tuloksen haluat. Jos tavoitteena on pysäyttää pyynnöt, voit tänään estää osoitealueen, rajoittaa tilin nopeutta tai tiukentaa päätepistettä, ja väärinkäyttöilmoitus on toissijainen. Jos tavoitteena on tarkastelun kestävä tallenne, tarvitset aikaleimat, pyyntötunnisteet ja turvallisessa paikassa säilytetyn muokkaamattoman alkuperäisen. Jos tavoitteena on osoitteen takana oleva nimi, tarvitset operaattorin oikeusprosessin tai tuomioistuimen määräyksen, eikä mikään yksityinen valitus korvaa sitä.

Niiden sekoittaminen tuottaa klassisen käyttökelvottoman ilmoituksen: vihainen kappale, ei aikavyöhykettä, vaatimus tilaajatiedoista eikä mitään viitettä siitä, mitä vastaanottaja voisi tehdä, vaikka haluaisi auttaa. Sellainen ilmoitus suljetaan ilman toimenpiteitä, ja lähettäjä päättelee, etteivät väärinkäyttöpalvelut tee mitään. Vastaanottajalla ei ollut mitään, minkä perusteella toimia.

Kirjoita kolme vastausta ennen kuin avaat sähköpostin. Ne määräävät sävyn, pituuden ja pyynnön.

Mitä poistumisosoite todistaa ja mitä ei

VPN:ään liitetty osoite kertoo, mistä liikenne tuli internetiin, ei sitä, kuka sen aloitti. Kaupallista poistumaa jakaa monta asiakasta yhtä aikaa, ja sen edessä oleva operaattoritason NAT voi jakaa yhden julkisen osoitteen tuhansien tilaajien kesken porttialueiden avulla. RFC 6269 kuvaa tämän osoitteiden jakamisen mallin, ja käytännön seuraus on, että lähdeosoite ja aikaleima voivat tunnistaa tilaajan vain, jos operaattorilla on kyseisen hetken kartoitus yhä tallessa.

Kirjaa se, minkä voit todistaa. Se tarkoittaa aikaleimaa UTC-ajassa alkuperäinen vyöhyke merkittynä, lähdeosoitetta, lähdeporttia, protokollaa ja pyyntötunnistetta sekä sitä, tuliko toiminto todennetusta tilistä vai anonyymistä pyynnöstä. Säilytä raakatallenne ja tee sitten vastaanottajalle muokattu kopio. Kuvakaappaus on huono korvike lokin alkuperäiselle riville.

Säilytysikkunat ovat lyhyitä ja vaihtelevat operaattoreittain. Mitä aikaisemmin kysyt, sitä todennäköisemmin kartoitus on vielä olemassa, ja se on pääasiallinen peruste ilmoittaa nopeasti, vaikka olisit jo lieventänyt ongelmaa.

Valitse kanava, joka voi todella toimia

Kanavia on kolme, eivätkä ne ole vaihdettavissa. Poistuman operaattorin väärinkäyttöpalvelu voi tutkia omaa asiakastaan ja voi keskeyttää tilin. Osoitealueen rekisteriyhteys voi ohjata sinut oikealle operaattorille, kun whois-tietue on vanhentunut tai kuuluu jälleenmyyjälle. Lainvalvontaviranomaiset käsittelevät epäiltyä rikosta, uhkauksia ja vakavaa tietoturvaloukkausta, ja vain tämä kanava voi pakottaa tietojen luovuttamiseen useimmissa lainkäyttöalueissa.

Kaksi ehtoa valitsee kanavan. Onko tapahtuma käynnissä, mikä puhuu ensin lieventämisen ja rinnalla ilmoittamisen puolesta, vai historiallinen, mikä puhuu todisteiden säilyttämisen puolesta ennen kaikkea muuta? Tarvitsetko liikenteen pysähtymistä, mihin kaikki kolme voivat vaikuttaa, vai tarvitsetko henkilöllisyyttä, jonka vain oikeudellinen reitti voi tuottaa? Kolmas ehto ratkaisee, kuinka paljon yksityiskohtia lähetät: poistumaa pyörittävä operaattori tarvitsee tekniset tiedot, kun taas rekisteriyhteys tarvitsee vain osoitealueen ja ongelman.

Kun tapahtuma on käynnissä oleva rikos, väärinkäyttöpalvelu ja viranomaiset eivät ole vaihtoehtoja. Ilmoita molemmille ja kerro operaattorille, että oikeudellinen pyyntö voi seurata, jotta sen oma säilytyskäytäntö aktivoituu.

Kirjoita ilmoitus, jonka perusteella vastaanottaja voi toimia

Pidä viesti tarpeeksi lyhyenä luettavaksi minuutissa. Yksi kappale kertoo, mitä tapahtui ja milloin, yksi lohko luettelee todisteet tarkoilla aikaleimoilla, yksi rivi kertoo, mitä olet jo tehnyt, ja yksi rivi kertoo, mitä pyydät. Laita pyyntö tapausnumerosta loppuun, jotta kiireinen analyytikko voi vastata numerolla keskustelun sijaan.

Poista salaisuudet lähettämästäsi kopiosta. Salasanat, istuntotunnukset, asiaankuulumattomat henkilötiedot ja sisäiset isäntänimet eivät auta vastaanottajaa ja lisäävät omaa altistumistasi. Säilytä muokkaamaton alkuperäinen paikassa, jossa on rajoitettu pääsy ja kirjattu hash, jos tapahtumasta voi tulla oikeudellinen todiste. Alla olevat komennot keräävät osoitteen julkiset tiedot ennen kuin kirjoitat mitään.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Korvaa osoite, jonka todella havaitsit, ja huomioi, että yllä olevan kaltainen dokumentaatioalue ei palauta elävää tietuetta. Jos whois-tuloste nimeää VPN-brändin sijaan hosting-palveluntarjoajan, kyseinen palveluntarjoaja on oikea vastaanottaja, koska sillä on osoitteen allokointi ja asiakassuhde.

Käsittele vastaus ja säilytä tallenne

Hiljaisuus ei tarkoita, ettei mitään tapahtunut. Operaattorit toimivat rutiininomaisesti ilmoituksen perusteella kertomatta siitä ilmoittajalle, sekä siksi, etteivät he voi luovuttaa asiakastietoja, että siksi, että heidän käytäntönsä voi kieltää sen. Lyhyt kuittaus tapausnumerolla on enin, mitä kannattaa odottaa, ja pyyntö lisää teknisistä yksityiskohdista on hyvä merkki, ei viivytys.

Älä julkaise syytöstä osoitetta tai palveluntarjoajaa vastaan, kun ilmoitus on avoinna. Jaetun poistuman nimeäminen syylliseksi rankaisee kyseisen poistuman kaikkia muita asiakkaita ja voi haitata tapausta, jos se myöhemmin päätyy oikeusprosessiin. NISTin ohje tapahtumien käsittelyyn pitää tapahtumatallenteiden alkuperää ja luottamuksellisuutta osana käsittelyä, ei sen jälkeisenä paperityönä.

Sulje kehä omissa tallenteissasi: mitä lähetit, kenelle, milloin ja mitä sen seurauksena muuttui. Juuri tämä historia muuttaa seuraavan tapahtuman sekasorrosta menettelyksi, jonka ensimmäinen askel tiedetään.