Hogyan jelentsük a VPN-kimenetről érkező visszaélést

A VPN-kimenetről érkező forgalom lehet visszaélésszerű anélkül, hogy megmondaná, ki küldte, és a megírt jelentés attól függ, hogy a három kérdés közül melyikre válaszol. A forgalom leállítása ma a saját feladata. A bizonyítékok megőrzése eljárás. Egy személy azonosítása olyan jogi eljárást igényel, amely valószínűleg nincs a birtokában. A jelentések akkor vallanak kudarcot, ha ezt a hármat egyetlen panaszba keverik, mert a címzett csak abban a részben tud cselekedni, amely az övé.

Először válasszuk külön a három kérdést

Kezdjük annak eldöntésével, milyen eredményt akar. Ha a cél a kérések leállítása, ma blokkolhatja a címteret, korlátozhatja a fiókot vagy szigoríthatja a végpontot, és a visszaélés-jelentés másodlagos. Ha a cél egy ellenőrzést kiálló nyilvántartás, időbélyegekre, kérésazonosítókra és biztonságos helyen tartott, szerkesztetlen eredetire van szükség. Ha a cél a cím mögötti név, az üzemeltető jogi eljárására vagy bírósági végzésre van szükség, és semmilyen magánpanasz nem helyettesíti azt.

Ezek összekeverése hozza létre a klasszikus használhatatlan jelentést: dühös bekezdés, időzóna nélkül, előfizetői adatok követelése, és semmi utalás arra, mit tehetne a címzett, ha segíteni akarna. Az ilyen jelentést intézkedés nélkül lezárják, és a küldő arra a következtetésre jut, hogy a visszaélés-osztályok semmit sem tesznek. A címzettnek nem volt mire cselekednie.

Írja le a három választ, mielőtt megnyitja az e-mailt. Ezek határozzák meg a hangvételt, a hosszt és a kérést.

Mit bizonyít a kimeneti cím, és mit nem

A VPN-hez kapcsolódó cím megmondja, honnan lépett be a forgalom az internetre, nem azt, hogy ki indította. Egy kereskedelmi kimenetet egyszerre sok ügyfél használ, és az előtte lévő szolgáltatói szintű NAT egy nyilvános címet oszthat meg több ezer előfizető között porttartományokkal. Az RFC 6269 ezt a címnegosztási modellt írja le, és a gyakorlati következmény az, hogy a forráscím és egy időbélyeg csak akkor azonosíthat előfizetőt, ha az üzemeltető még őrzi az adott pillanat hozzárendelését.

Rögzítse, amit bizonyítani tud. Ez az UTC-időbélyeget az eredeti zóna feltüntetésével, a forráscímet, a forrásportot, a protokollt és a kérésazonosítót jelenti, valamint azt, hogy a művelet hitelesített fiókból vagy névtelen kérésből érkezett. Őrizze meg a nyers rekordot, majd készítsen szerkesztett másolatot a címzettnek. A képernyőkép gyenge helyettesítője a napló eredeti sorának.

A megőrzési ablakok rövidek és üzemeltetőnként eltérnek. Minél előbb kérdez, annál valószínűbb, hogy a hozzárendelés még létezik, és ez a fő érv a gyors jelentés mellett akkor is, ha a problémát már enyhítette.

Válassza ki a valóban cselekvőképes csatornát

Három csatorna létezik, és ezek nem felcserélhetők. A kimenet üzemeltetőjének visszaélés-osztálya kivizsgálhatja saját ügyfelét, és felfüggesztheti a fiókot. A címtartomány regisztrációs kapcsolata a megfelelő üzemeltetőhöz irányíthatja, ha a whois-bejegyzés elavult vagy viszonteladóhoz tartozik. A bűnüldözés gyanús bűncselekménnyel, fenyegetésekkel és súlyos kompromittálódással foglalkozik, és a legtöbb joghatóságban csak ez a csatorna tud kötelezni közzétételre.

Két feltétel választja ki a csatornát. Az eset folyamatban van, ami az enyhítés és a párhuzamos jelentés mellett szól, vagy múltbeli, ami a bizonyítékok mindenek előtti megőrzése mellett szól? A forgalom leállítására van szükség, amire mindhárom hatással lehet, vagy identitásra, amit csak a jogi út adhat? Egy harmadik feltétel dönti el, mennyi részletet küldjön: a kimenetet üzemeltető szolgáltatónak technikai részletekre van szüksége, míg a regisztrációs kapcsolatnak csak a címtartományra és a problémára.

Ha az eset folyamatban lévő bűncselekmény, a visszaélés-osztály és a hatóságok nem alternatívák. Jelentsen mindkettőnek, és tudassa az üzemeltetővel, hogy jogi kérés következhet, hogy saját megőrzési szabályzata aktiválódjon.

Írja meg a jelentést, amely alapján a címzett cselekedhet

Tartsa az üzenetet elég rövidnek ahhoz, hogy egy perc alatt elolvassák. Egy bekezdés elmondja, mi történt és mikor, egy blokk pontos időbélyegekkel felsorolja a bizonyítékokat, egy sor elmondja, mit tett már, és egy sor azt, mit kér. Az ügyszám iránti kérést tegye a végére, hogy egy elfoglalt elemző számmal válaszolhasson beszélgetés helyett.

Távolítsa el a titkokat a küldött példányból. A jelszavak, munkamenet-tokenek, nem kapcsolódó személyes adatok és belső gazdagépnevek nem segítik a címzettet, és növelik a saját kitettségét. Őrizze a szerkesztetlen eredetit korlátozott hozzáférésű helyen és rögzített hash-sel, ha az eset jogi bizonyítékká válhat. Az alábbi parancsok összegyűjtik egy cím nyilvános tényeit, mielőtt bármit írna.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Helyettesítse be a ténylegesen megfigyelt címet, és vegye figyelembe, hogy a fentihez hasonló dokumentációs tartomány nem ad vissza élő rekordot. Ha a whois kimenete a VPN-márka helyett tárhelyszolgáltatót nevez meg, az a szolgáltató a megfelelő címzett, mert nála van a címkiosztás és az ügyfélkapcsolat.

Kezelje a választ, és őrizze meg a rekordot

A csend nem azt jelenti, hogy semmi sem történt. Az üzemeltetők rutinszerűen cselekszenek egy jelentés alapján anélkül, hogy erről tájékoztatnák a bejelentőt, egyrészt mert nem tehetik közzé az ügyféladatokat, másrészt mert szabályzatuk tilthatja. Egy rövid visszaigazolás ügyszámmal a legtöbb, amire számíthat, és a több technikai részlet kérése jó jel, nem késlekedés.

Ne tegyen közzé vádat egy cím vagy szolgáltató ellen, amíg a jelentés nyitva van. Egy megosztott kimenet bűnösként való megnevezése bünteti az adott kimenet minden más ügyfelét, és árthat az ügynek, ha később jogi eljárásba jut. A NIST incidenskezelési útmutatója az incidensrekordok eredetét és bizalmasságát a reagálás részének tekinti, nem utólagos papírmunkának.

Zárja be a kört saját nyilvántartásában: mit küldött, kinek, mikor, és mi változott ennek eredményeként. Ez a történet teszi a következő esetet kapkodásból ismert első lépéssel rendelkező eljárássá.