VPN出口からの不正トラフィックを報告する方法

VPN出口からの通信は、誰が送ったのかを教えてくれないまま不正行為であり得ます。書くべき報告は、三つの問いのどれに答えるかで変わります。通信を止めるのは今日あなたがやることです。証拠を保全するのは手順です。個人を特定するには、おそらく手元にない法的手続きが必要です。この三つを一つの苦情に混ぜると報告は失敗します。受け取る側は、自分の持ち分についてしか動けないからです。

まず三つの問いを切り分ける

望む結果を決めることから始めます。目的がリクエストを止めることなら、今日アドレス範囲を遮断する、アカウントのレートを制限する、エンドポイントを厳しくするといった対応ができ、不正報告は二次的なものになります。目的が検証に耐える記録なら、タイムスタンプ、リクエスト識別子、そして安全な場所に保管した未編集の原本が必要です。目的がアドレスの背後の名前なら、事業者の法的手続きか裁判所の命令が必要で、私的な苦情が代わりになることはありません。

混ぜると、ありがちな使えない報告になります。怒りの段落、タイムゾーンなし、加入者情報の要求、そして相手が助けたいと思っても何ができるかの記載がない。そうした報告は措置なく閉じられ、送り手は不正窓口は何もしないと結論づけます。受け取る側には動くべき材料がありませんでした。

メールを開く前に三つの答えを書き出します。それが口調、長さ、依頼を決めます。

出口アドレスが証明すること、しないこと

VPNに関連するアドレスは、通信がどこからインターネットに入ったかを示すもので、誰が始めたかは示しません。商用の出口は多くの顧客が同時に共有しており、その手前のキャリアグレードNATはポート範囲を使って一つの公開アドレスを数千の加入者で共有することがあります。RFC 6269はそのアドレス共有モデルを説明しており、実務上の帰結は、送信元アドレスとタイムスタンプだけで加入者を特定できるのは、事業者がその時点の対応表をまだ保持している場合だけだということです。

証明できることを記録します。UTCのタイムスタンプと元のタイムゾーンの記載、送信元アドレス、送信元ポート、プロトコル、リクエスト識別子、そして行為が認証済みアカウントから来たのか匿名のリクエストから来たのかです。生の記録を保存し、そのうえで相手向けに編集した写しを作ります。スクリーンショットはログの元の行の代わりにはなりません。

保持期間は短く、事業者によって異なります。早く問い合わせるほど対応表が残っている可能性が高く、すでに問題を緩和した後でも早く報告すべき主な理由はそこにあります。

実際に動ける窓口を選ぶ

窓口は三つあり、互換性はありません。出口事業者の不正窓口は自社の顧客を調査でき、アカウントを停止することがあります。アドレス範囲のレジストリ連絡先は、whoisの記録が古い場合や再販業者のものの場合に正しい事業者を教えてくれます。法執行機関は犯罪の疑い、脅迫、重大な侵害を扱い、ほとんどの法域で開示を強制できるのはその窓口だけです。

窓口を選ぶ条件は二つです。事案が継続中なら緩和を先に並行して報告する方がよく、過去のものなら何より証拠の保全が優先です。通信を止めたいのか、それとも身元が必要なのか。前者は三つのどれでも働きかけられ、後者は法的手続きでしか得られません。三つ目の条件は送る詳細の量を決めます。出口を運営する事業者には技術的な細部が必要ですが、レジストリの連絡先にはアドレス範囲と問題だけが必要です。

事案が進行中の犯罪である場合、不正窓口と当局は二者択一ではありません。両方に報告し、法的要請が続く可能性を事業者に伝えて、その保持ポリシーが作動するようにします。

相手が動ける報告を書く

メッセージは一分で読める長さにします。一つの段落で何がいつ起きたかを述べ、一つのブロックで正確なタイムスタンプ付きの証拠を並べ、一行で既に行ったことを述べ、一行で依頼を述べます。ケース参照番号の依頼は最後に置き、多忙な分析担当が会話ではなく番号で返せるようにします。

送る写しから秘密情報を除きます。パスワード、セッショントークン、無関係な個人データ、内部ホスト名は相手の役に立たず、こちらの露出を増やします。事案が法的証拠になり得るなら、未編集の原本をアクセス制限のある場所に保存し、ハッシュを記録します。以下のコマンドは、何かを書く前にアドレスに関する公開情報を集めるものです。

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

実際に観測したアドレスに置き換えてください。上の例のようなドキュメント用の範囲は実在のレコードを返さない点に注意します。whoisの出力がVPNブランドではなくホスティング事業者を示す場合、その事業者が正しい宛先です。アドレスの割り当てと顧客関係を持っているからです。

返信を扱い、記録を残す

沈黙は何も起きなかったという意味ではありません。事業者は報告に基づいて行動しても報告者に伝えないことが常です。顧客情報を開示できないうえ、ポリシーが禁じている場合もあるからです。ケース番号付きの短い確認が期待できる上限であり、技術的な詳細の追加依頼は遅延ではなく良い兆候です。

報告が開いている間に、アドレスや事業者への非難を公表しないでください。共有された出口を犯人として名指すと、その出口の他のすべての顧客を罰することになり、後に法的手続きに至った場合に不利益をもたらします。NISTのインシデント対応ガイダンスは、インシデント記録の出所と機密性を対応の一部と位置づけており、後処理の書類とは見ていません。

自分の記録でループを閉じます。何を誰にいつ送り、その結果何が変わったか。その履歴が、次の事案を慌てた対応から、最初の一歩が分かっている手順へと変えます。