איך לדווח על תעבורת התעללות שמגיעה מיציאת VPN
דיווח על התעללות מיציאת VPN: הפרידו בין עצירת התעבורה לבין זיהוי אדם, בחרו בערוץ שיכול לפעול ושלוח ראיות מוגבלות.
תעבורה מיציאת VPN יכולה להיות התעללות בלי לומר לכם מי שלח אותה, והדיווח שאתם כותבים תלוי באיזו משלוש השאלות אתם עונים. עצירת התעבורה היא העבודה שלכם היום. שימור הראיות הוא נוהל. זיהוי אדם דורש הליך משפטי שכנראה אין לכם. דיווחים נכשלים כשהשלושה מתערבבים בתלונה אחת, כי הנמען יכול לפעול רק בחלק שבבעלותו.
הפרידו קודם את שלוש השאלות
התחילו בהחלטה איזו תוצאה אתם רוצים. אם המטרה היא לעצור את הבקשות, אתם יכולים היום לחסום את טווח הכתובות, להגביל את החשבון או להקשיח את נקודת הקצה, ודיווח ההתעללות משני. אם המטרה היא רשומה שתעמוד בבדיקה, דרושים לכם חותמות זמן, מזהי בקשה ומקור מקורי ללא עריכה שנשמר במקום בטוח. אם המטרה היא שם מאחורי הכתובת, דרוש לכם ההליך המשפטי של המפעיל או צו בית משפט, ושום תלונה פרטית אינה מחליפה אותו.
ערבוב שלהם מייצר את הדיווח הקלאסי חסר התועלת: פסקה כועסת, בלי אזור זמן, דרישה לפרטי מנוי ובלי שום אינדיקציה למה הנמען יכול היה לעשות גם אם רצה לעזור. דיווח כזה נסגר בלי פעולה, והשולח מסיק שמחלקות ההתעללות לא עושות דבר. לנמען לא היה על מה לפעול.
כתבו את שלוש התשובות לפני שתפתחו את הדואר האלקטרוני. הן קובעות את הטון, את האורך ואת הבקשה.
מה כתובת היציאה מוכיחה ומה לא
כתובת שמשויכת ל-VPN אומרת לכם מהיכן התעבורה נכנסה לאינטרנט, ולא מי יצר אותה. יציאה מסחרית משותפת ללקוחות רבים בעת ובעונה אחת, ו-NAT ברמת מפעיל לפניה עשוי לחלוק כתובת ציבורית אחת בין אלפי מנויים באמצעות טווחי פורטים. RFC 6269 מתאר את מודל שיתוף הכתובות הזה, והתוצאה המעשית היא שכתובת המקור יחד עם חותמת זמן יכולות לזהות מנוי רק אם המפעיל עדיין מחזיק במיפוי לאותו רגע.
תעדו את מה שאתם יכולים להוכיח. כלומר חותמת הזמן ב-UTC עם אזור המקור מצוין, כתובת המקור, פורט המקור, הפרוטוקול ומזהה הבקשה, והאם הפעולה הגיעה מחשבון מאומת או מבקשה אנונימית. שמרו את הרשומה הגולמית, ואז הכינו עותק ערוך לנמען. צילום מסך הוא תחליף גרוע לשורה המקורית ביומן.
חלונות השימור קצרים ומשתנים בין מפעילים. ככל שתשאלו מוקדם יותר, כך סביר שהמיפוי עדיין קיים, וזו הטענה העיקרית לדיווח מהיר גם כשכבר ריככתם את הבעיה.
בחרו בערוץ שבאמת יכול לפעול
קיימים שלושה ערוצים והם אינם ניתנים להחלפה. מחלקת ההתעללות של מפעיל היציאה יכולה לחקור את הלקוח שלה ועשויה להשעות את החשבון. איש הקשר של הרשם עבור טווח הכתובות יכול להפנות אתכם למפעיל הנכון כשהרשומה ב-whois מיושנת או שייכת למשווק משנה. אכיפת החוק עוסקת בחשד לפשע, באיומים ובפגיעה חמורה, ורק הערוץ הזה יכול לכפות גילוי ברוב תחומי השיפוט.
| Channel | What it can do | What it cannot do |
|---|---|---|
| Exit operator abuse desk | Investigate, warn or suspend the account | Disclose a subscriber to a private complainant |
| Registry contact | Identify the network holder and its abuse address | Act on the incident itself |
| Law enforcement | Preserve and compel records under legal process | Move faster than your own mitigation |
שני תנאים בוחרים את הערוץ. האם האירוע מתרחש עכשיו, מה שתומך בהקלה תחילה ובדיווח במקביל, או שהוא היסטורי, מה שתומך בשימור ראיות לפני כל דבר אחר? האם אתם צריכים שהתעבורה תפסיק, מה שכל אחד מהשלושה יכול להשפיע עליו, או שאתם צריכים זהות, שרק המסלול המשפטי יכול לספק? תנאי שלישי קובע כמה פירוט לשלוח: מפעיל שמנהל את היציאה צריך פרטים טכניים, ואילו איש קשר של רשם צריך רק את טווח הכתובות ואת הבעיה.
כשהאירוע הוא פשע מתמשך, מחלקת ההתעללות והרשויות אינן חלופות. דווחו לשניהם, והודיעו למפעיל שבקשה משפטית עשויה לבוא בעקבות כך כדי שמדיניות השימור שלו תופעל.
כתבו את הדיווח שהנמען יכול לפעול לפיו
השאירו את ההודעה קצרה מספיק לקריאה בדקה. פסקה אחת אומרת מה קרה ומתי, בלוק אחד מפרט את הראיות עם חותמות זמן מדויקות, שורה אחת אומרת מה כבר עשיתם ושורה אחת אומרת מה אתם מבקשים. שימו את הבקשה למספר אסמכתא של המקרה בסוף כדי שאנליסט עסוק יוכל להשיב במספר ולא בשיחה.
הסירו סודות מהעותק שאתם שולחים. סיסמאות, אסימוני הפעלה, נתונים אישיים לא קשורים ושמות מארח פנימיים לא עוזרים לנמען ומגבירים את החשיפה שלכם. שמרו את המקור ללא עריכה במקום עם גישה מוגבלת ועם hash מתועד אם האירוע עשוי להפוך לראיה משפטית. הפקודות שלהלן אוספות את העובדות הציבוריות על כתובת לפני שתכתבו משהו.
whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20החליפו בכתובת שצפיתם בה בפועל, ושימו לב שטווח תיעודי כמו זה שלמעלה לא יחזיר רשומה חיה. אם פלט whois מציין ספק אחסון במקום את מותג ה-VPN, אותו ספק הוא הנמען הנכון, כי הוא מחזיק בהקצאת הכתובת ובקשר עם הלקוח.
טפלו בתשובה ושמרו את הרשומה
שתיקה אינה אומרת שדבר לא קרה. מפעילים פועלים בשגרה על דיווח בלי לומר זאת למדווח, גם משום שאינם יכולים למסור מידע על לקוחות וגם משום שהמדיניות שלהם עשויה לאסור זאת. אישור קצר עם מספר מקרה הוא המקסימום שכדאי לצפות לו, ובקשה לפרטים טכניים נוספים היא סימן טוב ולא עיכוב.
אל תפרסמו האשמה נגד כתובת או ספק כל עוד הדיווח פתוח. מתן שם ליציאה משותפת כאשמה מעניש כל לקוח אחר של אותה יציאה ועלול לפגוע בתיק אם הוא יגיע מאוחר יותר להליך משפטי. הנחיית NIST לתגובה לאירועים מתייחסת למקור של רשומות אירוע ולסודיותן כחלק מהתגובה, ולא כעבודת ניירת שאחריה.
סגרו את המעגל ברשומות שלכם: מה שלחתם, למי, מתי, ומה השתנה כתוצאה מכך. ההיסטוריה הזו היא מה שהופך את האירוע הבא מבלבול לנוהל עם צעד ראשון ידוע.