Hvernig á að tilkynna misnotkun sem kemur frá VPN-útgangi

Umferð frá VPN-útgangi getur verið misnotkun án þess að segja þér hver sendi hana, og tilkynningin sem þú skrifar fer eftir því hverri af þremur spurningum þú ert að svara. Að stöðva umferðina er þitt verk í dag. Að varðveita sönnunargögnin er ferli. Að auðkenna einstakling krefst lagalegs ferlis sem þú hefur líklega ekki. Tilkynningar mistakast þegar þessum þremur er blandað í eina kvörtun, vegna þess að viðtakandinn getur aðeins brugðist við þeim hluta sem hann á.

Aðskildu fyrst spurningarnar þrjár

Byrjaðu á að ákveða hvaða niðurstöðu þú vilt. Ef markmiðið er að stöðva beiðnirnar geturðu í dag lokað á netfangið, takmarkað reikninginn eða hert endapunktinn, og misnotkunarákæran er aukaatriði. Ef markmiðið er skrá sem stenst skoðun þarftu tímastimpla, beiðni auðkenni og óbreytta frumrit sem geymt er á öruggum stað. Ef markmiðið er nafn bak við netfangið þarftu lagalegt ferli rekstraraðilans eða dómsúrskurð, og engin einkakvörtun kemur í staðinn.

Að blanda þeim saman framleiðir hina klassísku ónothæfu tilkynningu: reiðan málsgrein, enga tímabelti, kröfu um áskrifendaupplýsingar og enga vísbendingu um hvað viðtakandinn gæti gert þótt hann vildi hjálpa. Slíkri tilkynningu er lokað án aðgerða, og sendandinn kemst að þeirri niðurstöðu að misnotkunarborð geri ekkert. Viðtakandinn hafði ekkert til að bregðast við.

Skrifaðu svörin þrjú niður áður en þú opnar tölvupóstinn. Þau ákvarða tóninn, lengdina og beiðnina.

Hvað útgangsfangið sannar og hvað ekki

Fang sem tengist VPN segir þér hvar umferðin kom inn á internetið, ekki hver stofnaði hana. Kauplegur útgangur er deilt af mörgum viðskiptavinum samtímis, og NAT á flutningsaðilastigi fyrir framan hann getur deilt einu opinberu fangi á meðal þúsunda áskrifenda með portabilum. RFC 6269 lýsir því fangadeilingarlíkani, og hagnýta afleiðingin er sú að upprunafangið ásamt tímastimpli getur aðeins auðkennt áskrifanda ef rekstraraðilinn hefur enn á að halda vörpuninni fyrir þá stund.

Skráðu það sem þú getur sannað. Það þýðir tímastimpilinn í UTC með upprunalega tímabeltinu skráðu, upprunafangið, upprunaportið, samskiptaregluna og beiðniauðkennið, og hvort aðgerðin kom frá auðkenndum reikningi eða nafnlausri beiðni. Geymdu hráskráninguna og búðu síðan til ritstýrt eintak fyrir viðtakandann. Skjáskot er léleg staðgengill fyrir upprunalegu línuna í annálinum.

Geymslugluggarnir eru stuttir og mismunandi eftir rekstraraðilum. Því fyrr sem þú spyrð, því líklegra er að vörpunin sé enn til, og það er aðalrökstuðningurinn fyrir skjótri tilkynningu jafnvel þótt þú hafir þegar mildað vandamálið.

Veldu rásina sem getur í raun brugðist við

Þrjár rásir eru til og þær eru ekki skiptanlegar. Misnotkunarborð útgangsrekstraraðilans getur rannsakað eigin viðskiptavin og kann að stöðva reikninginn. Skráningarhnakki fyrir fangabil getur bent þér á rétta rekstraraðilann þegar whois-færslan er úrelt eða tilheyrir endurseljanda. Löggæsla fjallar um grunaða glæpi, hótanir og alvarlegar málamiðlanir, og aðeins sú rás getur þvingað fram upplýsingagjöf í flestum lögsagnarumdæmum.

Tvö skilyrði velja rásina. Er atvikið í gangi, sem hnígur að mildun fyrst og tilkynningu samhliða, eða er það liðið, sem hnígur að varðveislu sönnunargagna fyrir öllu öðru? Þarftu að umferðin stöðvist, sem allar þrjár geta haft áhrif á, eða þarftu auðkenni, sem aðeins lagalega leiðin getur gefið? Þriðja skilyrðið ræður því hversu miklum smáatriðum þú sendir: rekstraraðili sem rekur útganginn þarf tæknilegar upplýsingar, en skráningarhnakki þarf aðeins fangabilið og vandamálið.

Þegar atvikið er glæpur í framkvæmd eru misnotkunarborðið og yfirvöld ekki valkostir. Tilkynntu báðum og láttu rekstraraðilann vita að lagaleg beiðni kunni að fylgja svo eigin geymslustefna hans virkjist.

Skrifaðu tilkynninguna sem viðtakandinn getur brugðist við

Haltu skilaboðunum nógu stuttum til að lesa á mínútu. Ein málsgrein segir hvað gerðist og hvenær, einn blokkur listar sönnunargögnin með nákvæmum tímastimplum, ein lína segir hvað þú hefur þegar gert og ein lína segir hvað þú biður um. Settu beiðnina um málsnúmer í lokin svo annasamur greinandi geti svarað með númeri í stað samtals.

Fjarlægðu leyndarmál úr eintakinu sem þú sendir. Lykilorð, lotulyklar, ótengd persónuupplýsingar og innri hýsilnöfn hjálpa viðtakandanum ekki og auka eigin áhættu þína. Geymdu óritstýrta frumritið á stað með takmörkuðum aðgangi og skráðu hash ef atvikið getur orðið lagalegt sönnunargagn. Skipanalínurnar hér að neðan safna opinberum staðreyndum um fang áður en þú skrifar nokkuð.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Skiptu út fanginu sem þú fylgdist í raun með, og athugaðu að skjölunarbil eins og það hér að ofan skilar ekki lifandi færslu. Ef whois-úttakið nefnir hýsingaraðila í stað VPN-vörumerkis er sá aðili rétti viðtakandinn, því hann hefur fangatildelinguna og viðskiptavinatengslin.

Meðhöndlaðu svarið og geymdu skráninguna

Þögn þýðir ekki að ekkert hafi gerst. Rekstraraðilar bregðast reglulega við tilkynningu án þess að segja tilkynnandanum frá, bæði vegna þess að þeir mega ekki gefa upp viðskiptavinaupplýsingar og vegna þess að stefna þeirra kann að banna það. Stutt staðfesting með málsnúmeri er það mesta sem þú ættir að búast við, og beiðni um frekari tæknilegar upplýsingar er gott tákn en ekki töf.

Ekki birta ásökun gegn fangi eða þjónustuveitanda á meðan tilkynning er opin. Að nefna sameiginlegan útgang sem sökudólg refsar hverjum öðrum viðskiptavini þess útgagns og getur skaðað málið ef það nær síðar lagalegu ferli. Leiðbeiningar NIST um viðbrögð við atvikum líta á uppruna og trúnað atvikaskráa sem hluta viðbragðanna, ekki sem pappírsvinnu eftir þau.

Lokaðu hringnum í þínum eigin skráningum: hvað þú sendir, til hvers, hvenær og hvað breyttist vegna þess. Þessi saga er það sem breytir næsta atviki úr ringulreið í ferli með þekktu fyrsta skrefi.