Kā ziņot par ļaunprātīgu trafiku, kas nāk no VPN izejas

Trafiks no VPN izejas var būt ļaunprātīgs, nepaziņojot, kas to nosūtīja, un jūsu rakstītais ziņojums ir atkarīgs no tā, uz kuru no trim jautājumiem jūs atbildat. Trafika apturēšana šodien ir jūsu darbs. Pierādījumu saglabāšana ir procedūra. Personas identificēšanai nepieciešams tiesisks process, kura jums, visticamāk, nav. Ziņojumi neizdodas, kad šie trīs tiek sajaukti vienā sūdzībā, jo saņēmējs var rīkoties tikai tajā daļā, kas pieder viņam.

Vispirms nošķiriet trīs jautājumus

Sāciet ar lēmumu, kādu rezultātu vēlaties. Ja mērķis ir apturēt pieprasījumus, šodien varat bloķēt adrešu diapazonu, ierobežot konta ātrumu vai pastiprināt galapunktu, un ļaunprātības ziņojums ir sekundārs. Ja mērķis ir ieraksts, kas iztur pārbaudi, jums vajag laika zīmogus, pieprasījumu identifikatorus un drošā vietā glabātu nerediģētu oriģinālu. Ja mērķis ir vārds aiz adreses, jums vajag operatora tiesisko procesu vai tiesas rīkojumu, un neviena privāta sūdzība to neaizstāj.

To sajaukšana rada klasisko neizmantojamo ziņojumu: dusmīga rindkopa, nav laika joslas, abonenta datu pieprasījums un nekāda norāde, ko saņēmējs varētu darīt pat tad, ja gribētu palīdzēt. Šāds ziņojums tiek slēgts bez darbības, un sūtītājs secina, ka ļaunprātības nodaļas neko nedara. Saņēmējam nebija ar ko rīkoties.

Pierakstiet trīs atbildes pirms e-pasta atvēršanas. Tās nosaka toni, garumu un lūgumu.

Ko pierāda izejas adrese un ko ne

Ar VPN saistīta adrese parāda, no kurienes trafiks iegāja internetā, nevis kas to sāka. Komerciālu izeju vienlaikus izmanto daudzi klienti, un tai priekšā esošais operatora līmeņa NAT var dalīt vienu publisku adresi starp tūkstošiem abonentu, izmantojot portu diapazonus. RFC 6269 apraksta šo adrešu dalīšanas modeli, un praktiskā sekas ir tāda, ka avota adrese un laika zīmogs abonentu var identificēt tikai tad, ja operatoram vēl joprojām ir tā brīža atbilstība.

Pierakstiet to, ko varat pierādīt. Tas nozīmē laika zīmogu UTC ar norādītu sākotnējo zonu, avota adresi, avota portu, protokolu un pieprasījuma identifikatoru, kā arī to, vai darbība nāca no autentificēta konta vai anonīma pieprasījuma. Saglabājiet neapstrādāto ierakstu, pēc tam izveidojiet saņēmējam rediģētu kopiju. Ekrānuzņēmums ir slikts aizvietotājs žurnāla oriģinālajai rindai.

Glabāšanas termiņi ir īsi un atšķiras atkarībā no operatora. Jo ātrāk jūs jautāsiet, jo lielāka iespēja, ka atbilstība vēl pastāv, un tas ir galvenais arguments ātrai ziņošanai arī tad, ja problēmu jau esat mīkstinājis.

Izvēlieties kanālu, kas patiešām var rīkoties

Ir trīs kanāli, un tie nav savstarpēji aizstājami. Izejas operatora ļaunprātības nodaļa var izmeklēt savu klientu un var apturēt kontu. Adrešu diapazona reģistra kontakts var norādīt uz pareizo operatoru, ja whois ieraksts ir novecojis vai pieder tālākpārdevējam. Tiesībaizsardzības iestādes nodarbojas ar aizdomās turamu noziegumu, draudiem un nopietniem pārkāpumiem, un tikai šis kanāls var panākt informācijas izpaušanu lielākajā daļā jurisdikciju.

Kanālu izvēlas divi nosacījumi. Vai incidents turpinās, kas runā par labu vispirms mīkstināšanai un paralēlai ziņošanai, vai tas ir vēsturisks, kas runā par labu pierādījumu saglabāšanai pirms visa cita? Vai jums vajag, lai trafiks apstājas, ko var ietekmēt visi trīs, vai jums vajag identitāti, ko var sniegt tikai tiesiskais ceļš? Trešais nosacījums nosaka, cik daudz detaļu sūtīt: operatoram, kas pārvalda izeju, vajag tehniskas detaļas, savukārt reģistra kontaktam vajag tikai adrešu diapazonu un problēmu.

Kad incidents ir notiekošs noziegums, ļaunprātības nodaļa un iestādes nav alternatīvas. Ziņojiet abiem un informējiet operatoru, ka var sekot tiesisks pieprasījums, lai viņa glabāšanas politika tiktu aktivizēta.

Uzrakstiet ziņojumu, uz kuru saņēmējs var rīkoties

Turiet ziņu pietiekami īsu, lai to varētu izlasīt minūtē. Viena rindkopa norāda, kas un kad notika, viens bloks uzskaita pierādījumus ar precīziem laika zīmogiem, viena rinda norāda, ko jau esat izdarījis, un viena rinda norāda, ko lūdzat. Lūgumu par lietas atsauces numuru lieciet beigās, lai aizņemts analītiķis varētu atbildēt ar numuru, nevis sarunu.

Noņemiet noslēpumus no sūtāmās kopijas. Paroles, sesijas pilnvaras, nesaistīti personas dati un iekšējie resursdatoru nosaukumi saņēmējam nepalīdz un palielina jūsu paša risku. Glabājiet nerediģēto oriģinālu vietā ar ierobežotu piekļuvi un reģistrētu jaucējkodu, ja incidents var kļūt par tiesisku pierādījumu. Tālāk dotās komandas apkopo publiskos faktus par adresi pirms kaut kā rakstīšanas.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Aizstājiet adresi, kuru faktiski novērojāt, un ņemiet vērā, ka dokumentācijas diapazons kā iepriekš neatgriezīs dzīvu ierakstu. Ja whois izvade nosauc mitināšanas pakalpojumu sniedzēju, nevis VPN zīmolu, šis sniedzējs ir pareizais saņēmējs, jo tam pieder adreses piešķīrums un klienta attiecības.

Apstrādājiet atbildi un saglabājiet ierakstu

Klusums nenozīmē, ka nekas nav noticis. Operatora parasti rīkojas pēc ziņojuma, nepaziņojot par to ziņotājam, jo nevar izpaust klienta informāciju un jo viņu politika to var aizliegt. Īss apstiprinājums ar lietas numuru ir maksimums, ko vajadzētu gaidīt, un lūgums sniegt vairāk tehnisku detaļu ir laba zīme, nevis kavēšanās.

Nepublicējiet apsūdzību pret adresi vai pakalpojumu sniedzēju, kamēr ziņojums ir atvērts. Kopīgas izejas nosaukšana par vainīgo sodīs ikvienu citu šīs izejas klientu un var kaitēt lietai, ja tā vēlāk nonāks tiesiskā procesā. NIST incidentu reaģēšanas vadlīnijas uzskata incidentu ierakstu izcelsmi un konfidencialitāti par reaģēšanas daļu, nevis papīru darbu pēc tam.

Noslēdziet loku savos ierakstos: ko nosūtījāt, kam, kad un kas tā rezultātā mainījās. Tieši šī vēsture pārvērš nākamo incidentu no juceklis par procedūru ar zināmu pirmo soli.