VPN-látogatók ellenőrzése: hírnév és késleltetés biztonságos pontozása

Egy csalási irányítópult VPN-ként jelöl meg egy látogatót, az elemző blokkolást kér, és a kérés úgy érkezik a platformcsapathoz, hogy semmi más nincs mellette, csak egy szállítói logikai érték. Az a logikai érték becslés, és más irányban hibázik, mint egy késleltetésmérés. Mielőtt cselekszik, válassza szét, mit bizonyít maga a kérés, mit állít egy hírnévszolgáltatás, és mire utal csak az időzítés. Utána olyan választ válasszon, amelyet vissza tud vonni, amikor a becslés tévesnek bizonyul.

Gyűjtse össze a védhető kérésadatokat

Az egyetlen cím, amelyet a kiszolgáló biztosan ismer, az a TCP-partner, amely a kapcsolatot befejezte. Amikor egy CDN vagy fordított proxy lezárja ezt a kapcsolatot, a partner a perem, és az ügyfél címe egy továbbítási fejlécben utazik, amely csak akkor megbízható, ha a saját pereme fűzte hozzá. A proxija által írt bejegyzést olvassa, soha ne a legbaloldalibb karakterláncot, mert az ügyfél bármilyen értéket küldhet oda. Mindennek lejjebb meg kell őriznie ezt a különbséget.

Két olcsó gazdagítás teszik ellenőrizhetővé a címet: az autonóm rendszer, amely meghirdeti, és a PTR-rekord, amely visszamutat rá. Mindkettő a regisztrációt írja le, nem a viselkedést, és mindkettő később reprodukálható.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

A tárhelyszolgáltatói ASN erős nyom, nem ítélet. A vállalati VPN-koncentrátorok, felhőkilépések és egyes egyetemi hálózatok szintén adatközpontokban vannak, ezért ugyanaz a jel, amely elkap egy kereskedelmi kilépést, egy legitim irodát is elkap. Csak addig tartsa a címet, ameddig az ellenőrzésnek szüksége van rá, mert az IP a legtöbb adatvédelmi rendszerben személyes adat. Ütemterv szerint törölje, ne tartsa meg határozatlan ideig.

Pontozza a látogatót, mielőtt korlátozná

Minden új jelet először megfigyelési módban futtasson. Naplózza a bemeneteket és egy okkódot, engedjen át minden kérést, és hasonlítsa össze a ponteloszlást azokkal a fiókokkal, amelyekről tudja, hogy legitim. Ez hamis pozitív becslést ad, mielőtt bárki elveszítené a hozzáférést, és ez a szám dönti el, hogy egy szabály biztonságosan bekapcsolható-e.

A végösszeget három művelethez rendelje kettő helyett: engedélyezés, fokozott kihívás, kézi ellenőrzés. Az állandó blokkoláshoz ember által megerősített ismételt visszaélés kellene, mert a vállalati utazónál jelentkező hamis pozitív egy támogatási jegybe és egy elveszett munkamenetbe kerül, míg egy kérésen jelentkező hamis negatív szinte semmibe.

Tartsa a hírnévlekérdezést kiszolgálóoldalon és korlátozottan

Hívja a hírnévszolgáltatást a háttérrendszerből rövid időkorláttal, gyorsítótárazza az ítéletet fix időtartamra, és az időtúllépést ismeretlenként kezelje, ne tisztaként. Soha ne tegye az API-kulcsot kliensoldali kódba, és soha ne hagyja, hogy a lekérdezés blokkolja az oldal renderelését; a lassú harmadik félnek a pontszámot kell rontania, nem az oldalt.

Címenként gyorsítótárazzon, ne tartományonként. Egy egész /24 besorolása egyetlen lekérdezésből téves ítéletet terjeszt olyan szomszédokra, amelyeket soha nem mért. Jegyezze fel a szállítót, a válasz dátumát és a besorolási értéket az okkód mellett, hogy egy későbbi ellenőrzés tudja, melyik ítélet volt érvényben.

Két szolgáltató egy címet napon belül eltérően besorolhat, ezért az ítélet a bizonyítékoszlophoz tartozik, nem az identitásoszlophoz. Ez egyben adatkezelési kapcsolat is: minden látogató címének harmadik félnek küldése jogalapot, megőrzési szabályt és egy sort az adatvédelmi tájékoztatóban igényel.

A késleltetést mediánnal mérje, ne egyetlen mintával

A körfordulási idő az útvonalat írja le abban a pillanatban, amikor mérte. Egy közeli anycast-perem távoli felhasználót szolgálhat ki, a mobilhálózat a földrajztól független késleltetést ad hozzá, és a látogató saját országában lévő VPN-kilépés helyinek tűnik. A városszintű geolokáció gyakran az adatközpontot jelenti, nem a személyt.

Vegyen több mintát, és használja a mediánt, hogy egy lassú kérés ne mozdítsa el az eredményt. Az alábbi ciklus öt mediánját írja ki.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Hasonlítsa a számot ismerten jó felhasználók eloszlásához abszolút küszöb helyett, és kombinálja az ASN-nel. Két gyenge jel, amely egyetért, erősebb bármelyiknél külön, de a következtetés még mindig útvonalról szól, nem szándékról, ezért pontszámba tartozik, nem tilalomba.

Döntsön, rögzítsen és vonjon vissza

Mielőtt bekapcsol egy szabályt, játsszon vissza egy nap forgalmat megfigyelési módban, és számolja meg, mi történt volna. Tárolja a pontozási bemeneteket, az okkódot és a szabály verzióját, de a nyers címeket csak az ellenőrzési ablakra tartsa meg. Ha a szabály legitim fiókon lép fel, a rekordnak második vizsgálat nélkül meg kell magyaráznia, miért.

Adjon minden szabálynak saját kapcsolót. Amikor a fokozott ellenőrzés befejezése csökken, vagy a támogatási jegyek megugranak, kapcsolja ki azt a szabályt, és tartsa futva a többi folyamatot; egyetlen globális vészkapcsoló egy hangolási problémát kieséssé tesz. A változás után figyelje a kihívások befejezési arányát és a fellebbezési sort, ne csak a blokkolások számát.

Végül tartsa a választ arányban a megelőzött kárral. A hirdetési csalásnál a VPN-állapot gyenge helyettesítője a hamis kattintásnak, és a viselkedési jelek, például a konverziós minták és az eszközkonzisztencia kezelik a tényleges kárt. A visszafordítható kihívás egyszerre védi a bevételt és a valódi felhasználót.