Comment signaler le trafic abusif provenant d’une sortie VPN

Le trafic d’une sortie VPN peut être abusif sans vous dire qui l’a envoyé, et le rapport que vous rédigez dépend de laquelle des trois questions vous traitez. Arrêter le trafic vous revient aujourd’hui. Préserver les preuves est une procédure. Identifier une personne exige une procédure judiciaire que vous n’avez probablement pas. Les rapports échouent quand ces trois se mélangent dans une seule plainte, car le destinataire ne peut agir que sur la partie qui lui appartient.

Séparez d’abord les trois questions

Commencez par décider du résultat voulu. Si l’objectif est d’arrêter les requêtes, vous pouvez aujourd’hui bloquer la plage d’adresses, limiter le débit du compte ou durcir le point de terminaison, et le rapport d’abus est secondaire. Si l’objectif est un enregistrement qui résiste à un examen, il vous faut des horodatages, des identifiants de requête et un original non modifié conservé en lieu sûr. Si l’objectif est un nom derrière l’adresse, il vous faut la procédure judiciaire de l’opérateur ou une ordonnance du tribunal, et aucune plainte privée ne la remplace.

Les mélanger produit le rapport classique inutilisable : un paragraphe furieux, aucun fuseau horaire, une exigence de données d’abonné et aucune indication de ce que le destinataire pourrait faire même s’il voulait aider. Ce rapport est clos sans action, et l’expéditeur conclut que les services d’abus ne font rien. Le destinataire n’avait rien sur quoi agir.

Écrivez les trois réponses avant d’ouvrir le courriel. Elles fixent le ton, la longueur et la demande.

Ce que l’adresse de sortie prouve et ce qu’elle ne prouve pas

Une adresse associée à un VPN vous dit où le trafic est entré sur internet, non qui l’a initié. Une sortie commerciale est partagée par de nombreux clients à la fois, et un NAT de niveau opérateur devant elle peut partager une adresse publique entre des milliers d’abonnés au moyen de plages de ports. Le RFC 6269 décrit ce modèle de partage d’adresses, et la conséquence pratique est que l’adresse source plus un horodatage ne peuvent identifier un abonné que si l’opérateur conserve encore la correspondance pour ce moment.

Consignez ce que vous pouvez prouver. Cela signifie l’horodatage en UTC avec le fuseau d’origine noté, l’adresse source, le port source, le protocole et l’identifiant de requête, et si l’action venait d’un compte authentifié ou d’une requête anonyme. Conservez l’enregistrement brut, puis produisez une copie expurgée pour le destinataire. Une capture d’écran est un piètre substitut à la ligne d’origine du journal.

Les fenêtres de conservation sont courtes et varient selon l’opérateur. Plus tôt vous demandez, plus la correspondance a de chances d’exister encore, et c’est l’argument principal pour signaler vite même lorsque vous avez déjà atténué le problème.

Choisissez le canal qui peut réellement agir

Il existe trois canaux et ils ne sont pas interchangeables. Le service d’abus de l’opérateur de sortie peut enquêter sur son propre client et peut suspendre le compte. Le contact de registre de la plage d’adresses peut vous orienter vers le bon opérateur lorsque l’enregistrement whois est périmé ou appartient à un revendeur. Les forces de l’ordre traitent les crimes présumés, les menaces et les compromissions graves, et seul ce canal peut contraindre à une divulgation dans la plupart des juridictions.

Deux conditions choisissent le canal. L’incident est-il en cours, ce qui plaide pour atténuer d’abord et signaler en parallèle, ou historique, ce qui plaide pour préserver les preuves avant tout ? Avez-vous besoin que le trafic cesse, ce que les trois peuvent influencer, ou besoin d’une identité, que seule la voie légale peut produire ? Une troisième condition décide du niveau de détail à envoyer : un opérateur qui exploite la sortie a besoin de précisions techniques, tandis qu’un contact de registre n’a besoin que de la plage d’adresses et du problème.

Quand l’incident est un crime en cours, le service d’abus et les autorités ne sont pas des alternatives. Signalez aux deux et informez l’opérateur qu’une demande légale peut suivre, afin que sa propre politique de conservation soit déclenchée.

Écrivez le rapport sur lequel le destinataire peut agir

Gardez le message assez court pour être lu en une minute. Un paragraphe dit ce qui s’est passé et quand, un bloc liste les preuves avec des horodatages exacts, une ligne dit ce que vous avez déjà fait et une ligne dit ce que vous demandez. Placez la demande de référence de dossier à la fin pour qu’un analyste occupé puisse répondre par un numéro plutôt que par une conversation.

Retirez les secrets de la copie que vous envoyez. Mots de passe, jetons de session, données personnelles sans rapport et noms d’hôtes internes n’aident pas le destinataire et augmentent votre propre exposition. Conservez l’original non expurgé dans un lieu à accès restreint avec un hachage enregistré si l’incident peut devenir une preuve judiciaire. Les commandes ci-dessous rassemblent les faits publics sur une adresse avant que vous n’écriviez quoi que ce soit.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Remplacez l’adresse que vous avez réellement observée, et notez qu’une plage de documentation comme celle ci-dessus ne renverra pas d’enregistrement réel. Si la sortie whois nomme un hébergeur plutôt que la marque VPN, cet hébergeur est le bon destinataire, car il détient l’allocation de l’adresse et la relation client.

Gérez la réponse et conservez l’enregistrement

Le silence ne signifie pas que rien ne s’est passé. Les opérateurs agissent couramment sur un rapport sans le dire au signalant, à la fois parce qu’ils ne peuvent pas divulguer d’informations client et parce que leur politique peut l’interdire. Un court accusé de réception avec un numéro de dossier est le maximum à attendre, et une demande de détails techniques supplémentaires est un bon signe, non un retard.

Ne publiez pas d’accusation contre une adresse ou un fournisseur tant qu’un rapport est ouvert. Désigner une sortie partagée comme coupable punit tous les autres clients de cette sortie et peut compromettre l’affaire si elle atteint plus tard une procédure judiciaire. Le guide NIST de réponse aux incidents traite la provenance et la confidentialité des enregistrements d’incident comme partie de la réponse, non comme de la paperasse après coup.

Bouclez dans vos propres enregistrements : ce que vous avez envoyé, à qui, quand, et ce qui a changé en conséquence. C’est cette histoire qui transforme l’incident suivant d’une course désordonnée en une procédure dont la première étape est connue.