Kaip pranešti apie piktnaudžiavimo srautą iš VPN išėjimo

Srautas iš VPN išėjimo gali būti piktnaudžiavimas ir nepasakyti, kas jį išsiuntė, o jūsų rašomas pranešimas priklauso nuo to, į kurį iš trijų klausimų atsakote. Sustabdyti srautą šiandien yra jūsų darbas. Įrodymų išsaugojimas yra procedūra. Asmens identifikavimui reikia teisinio proceso, kurio jūs greičiausiai neturite. Pranešimai žlunga, kai šie trys sumaišomi viename skunde, nes gavėjas gali veikti tik toje dalyje, kuri jam priklauso.

Pirmiausia atskirkite tris klausimus

Pradėkite nuspręsdami, kokio rezultato norite. Jei tikslas yra sustabdyti užklausas, šiandien galite užblokuoti adresų diapazoną, apriboti paskyros dažnį ar sugriežtinti galinį tašką, o piktnaudžiavimo pranešimas yra antraeilis. Jei tikslas yra įrašas, atlaikantis patikrinimą, jums reikia laiko ženklų, užklausų identifikatorių ir saugioje vietoje laikomo nesuredaguoto originalo. Jei tikslas yra vardas už adreso, jums reikia operatoriaus teisinio proceso arba teismo sprendimo, ir joks privatus skundas to nepakeičia.

Juos sumaišius gaunamas klasikinis netinkamas pranešimas: piktas paragrafas, jokios laiko zonos, reikalavimas pateikti abonento duomenis ir jokia užuomina, ką gavėjas galėtų padaryti net jei norėtų padėti. Toks pranešimas uždaromas be veiksmų, o siuntėjas daro išvadą, kad piktnaudžiavimo skyriai nieko nedaro. Gavėjas neturėjo kuo remtis.

Užsirašykite tris atsakymus prieš atidarydami el. paštą. Jie nustato toną, ilgį ir prašymą.

Ką įrodo išėjimo adresas, o ko ne

Su VPN susietas adresas nurodo, iš kur srautas pateko į internetą, o ne kas jį inicijavo. Komerciniu išėjimu vienu metu naudojasi daug klientų, o priešais esantis operatoriaus lygio NAT gali dalyti vieną viešą adresą tarp tūkstančių abonentų, naudodamas portų diapazonus. RFC 6269 aprašo šį adresų dalijimosi modelį, o praktinė pasekmė yra ta, kad šaltinio adresas ir laiko ženklas abonentą gali identifikuoti tik jei operatorius tą akimirką dar turi atitikmenį.

Užrašykite tai, ką galite įrodyti. Tai reiškia laiko ženklą UTC su pažymėta pradine zona, šaltinio adresą, šaltinio portą, protokolą ir užklausos identifikatorių bei tai, ar veiksmas atėjo iš autentifikuotos paskyros, ar iš anoniminės užklausos. Išsaugokite neapdorotą įrašą, tada paruoškite gavėjui suredaguotą kopiją. Ekrano kopija yra prastas originalios žurnalo eilutės pakaitalas.

Saugojimo terminai yra trumpi ir skiriasi priklausomai nuo operatoriaus. Kuo anksčiau paklausite, tuo didesnė tikimybė, kad atitikmuo dar egzistuoja, ir tai yra pagrindinis argumentas pranešti greitai net tada, kai problemą jau sušvelninote.

Pasirinkite kanalą, kuris iš tikrųjų gali veikti

Yra trys kanalai ir jie nėra keičiami. Išėjimo operatoriaus piktnaudžiavimo skyrius gali ištirti savo klientą ir gali sustabdyti paskyrą. Adresų diapazono registro kontaktas gali nukreipti jus į tinkamą operatorių, kai whois įrašas pasenęs arba priklauso perpardavėjui. Teisėsauga nagrinėja įtariamą nusikaltimą, grasinimus ir rimtus pažeidimus, ir tik tas kanalas gali priversti atskleisti informaciją daugumoje jurisdikcijų.

Kanalą parenka dvi sąlygos. Ar incidentas vyksta, kas palaiko pirmiausia švelninimą ir lygiagretų pranešimą, ar jis istorinis, kas palaiko įrodymų išsaugojimą prieš viską kita? Ar jums reikia, kad srautas sustotų, ką gali paveikti visi trys, ar jums reikia tapatybės, kurią gali suteikti tik teisinis kelias? Trečioji sąlyga nusprendžia, kiek detalių siųsti: išėjimą valdančiam operatoriui reikia techninių duomenų, o registro kontaktui reikia tik adresų diapazono ir problemos.

Kai incidentas yra vykstantis nusikaltimas, piktnaudžiavimo skyrius ir institucijos nėra alternatyvos. Praneškite abiem ir informuokite operatorių, kad gali būti pateiktas teisinis prašymas, kad jo saugojimo politika būtų suaktyvinta.

Parašykite pranešimą, kuriuo gavėjas galės veikti

Laikykite žinutę pakankamai trumpą, kad ją būtų galima perskaityti per minutę. Vienas paragrafas nurodo, kas ir kada įvyko, vienas blokas išvardija įrodymus su tiksliais laiko ženklais, viena eilutė nurodo, ką jau padarėte, ir viena eilutė nurodo, ko prašote. Prašymą dėl bylos nuorodos numerio dėkite pabaigoje, kad užimtas analitikas galėtų atsakyti numeriu, o ne pokalbiu.

Pašalinkite paslaptis iš siunčiamos kopijos. Slaptažodžiai, sesijos raktai, nesusiję asmens duomenys ir vidiniai pagrindinių kompiuterių vardai nepadeda gavėjui ir didina jūsų pačių riziką. Laikykite nesuredaguotą originalą vietoje su ribota prieiga ir užfiksuotu maišos kodu, jei incidentas gali tapti teisiniu įrodymu. Toliau pateiktos komandos surenka viešus faktus apie adresą prieš ką nors rašant.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Pakeiskite adresą, kurį iš tikrųjų pastebėjote, ir atkreipkite dėmesį, kad dokumentacijos diapazonas, kaip aukščiau, negrąžins gyvo įrašo. Jei whois išvestis nurodo prieglobos teikėją, o ne VPN prekės ženklą, tas teikėjas yra tinkamas gavėjas, nes jam priklauso adreso paskirstymas ir kliento santykiai.

Apdorokite atsakymą ir išsaugokite įrašą

Tyla nereiškia, kad nieko neįvyko. Operatoriai įprastai veikia pagal pranešimą neinformuodami pranešėjo, nes negali atskleisti kliento informacijos ir nes jų politika gali to drausti. Trumpas patvirtinimas su bylos numeriu yra daugiausia, ko turėtumėte tikėtis, o prašymas pateikti daugiau techninės informacijos yra geras ženklas, o ne delsimas.

Neskelbkite kaltinimo adresui ar teikėjui, kol pranešimas atviras. Bendro išėjimo įvardijimas kaltu nubaudžia visus kitus to išėjimo klientus ir gali pakenkti bylai, jei vėliau ji pasieks teisinį procesą. NIST incidentų reagavimo gairės incidentų įrašų kilmę ir konfidencialumą laiko reagavimo dalimi, o ne popierizmu po jo.

Uždarykite ratą savo įrašuose: ką išsiuntėte, kam, kada ir kas dėl to pasikeitė. Būtent ši istorija paverčia kitą incidentą iš sumaišties procedūra su žinomu pirmuoju žingsniu.