Како да пријавите злоупотреба што доаѓа од VPN излез

Сообраќајот од VPN излез може да биде злоупотреба без да ви каже кој го испратил, а пријавата што ја пишувате зависи од тоа на кое од трите прашања одговарате. Запирањето на сообраќајот е ваша работа денес. Зачувувањето на доказите е постапка. Идентификацијата на лице бара правна постапка што веројатно ја немате. Пријавите пропаѓаат кога тие три се мешаат во една жалба, бидејќи примачот може да дејствува само на делот што го поседува.

Прво одделете ги трите прашања

Започнете со одлука каков резултат сакате. Ако целта е да ги запрете барањата, денес можете да го блокирате опсегот адреси, да ја ограничите сметката или да го затегнете крајниот пункт, а пријавата за злоупотреба е второстепена. Ако целта е запис што ќе издржи проверка, ви требаат временски ознаки, идентификатори на барања и нередактиран оригинал чуван на безбедно место. Ако целта е име зад адресата, ви треба правната постапка на операторот или судска наредба, и никаква приватна жалба не ја заменува.

Нивното мешање го создава класичниот неупотреблив извештај: лут пасус, без временска зона, барање за податоци за претплатникот и никаква индикација што би можел примачот да направи дури и да сакал да помогне. Таквата пријава се затвора без дејство, а испраќачот заклучува дека одделенијата за злоупотреба не прават ништо. Примачот немал на што да дејствува.

Запишете ги трите одговори пред да ја отворите е-поштата. Тие го одредуваат тонот, должината и барањето.

Што докажува адресата на излезот и што не

Адреса поврзана со VPN ви кажува каде сообраќајот влегол во интернетот, а не кој го започнал. Комерцијалниот излез го делат многу клиенти истовремено, а NAT на ниво на оператор пред него може да дели една јавна адреса меѓу илјадници претплатници користејќи опсези на порти. RFC 6269 го опишува тој модел на споделување адреси, а практичната последица е дека изворната адреса плус временска ознака можат да идентификуваат претплатник само ако операторот сѐ уште го чува мапирањето за тој момент.

Запишете што можете да докажете. Тоа значи временска ознака во UTC со забележана оригинална зона, изворната адреса, изворната порта, протоколот и идентификаторот на барањето, и дали дејството дошло од автентифицирана сметка или од анонимно барање. Чувајте го суровиот запис, потоа направете редактирана копија за примачот. Екранската слика е лош заменик за оригиналната линија во дневникот.

Роковите на чување се кратки и се разликуваат по оператор. Колку порано прашате, толку е поголема веројатноста мапирањето сѐ уште да постои, и тоа е главниот аргумент за брза пријава дури и кога веќе сте го ублажиле проблемот.

Изберете канал што навистина може да дејствува

Постојат три канали и тие не се заменливи. Одделението за злоупотреба на операторот на излезот може да го истражи сопствениот клиент и може да ја суспендира сметката. Контактот на регистарот за опсегот адреси може да ве упати на вистинскиот оператор кога записот whois е застарен или припаѓа на препродавач. Органите за спроведување на законот се занимаваат со сомнително кривично дело, закани и сериозни нарушувања, и само тој канал може да наложи откривање во повеќето јурисдикции.

Каналот го избираат два услови. Дали инцидентот е во тек, што зборува за ублажување прво и паралелна пријава, или е историски, што зборува за чување докази пред сѐ друго? Дали ви треба сообраќајот да запре, на што можат да влијаат сите три, или ви треба идентитет, што може да го даде само правниот пат? Третиот услов одлучува колку детали да испратите: операторот што го води излезот бара технички подробности, додека контактот на регистарот бара само опсегот адреси и проблемот.

Кога инцидентот е кривично дело во тек, одделението за злоупотреба и властите не се алтернативи. Пријавете до двете и известете го операторот дека може да следи правно барање, за да се активира неговата сопствена политика на чување.

Напишете пријава на која примачот може да дејствува

Држете ја пораката доволно кратка за читање за една минута. Еден пасус кажува што се случило и кога, еден блок ги наведува доказите со точни временски ознаки, една линија кажува што веќе сте направиле и една линија кажува што барате. Барањето за референтен број на случајот ставете го на крајот, за да може зафатен аналитичар да одговори со број наместо со разговор.

Отстранете ги тајните од копијата што ја испраќате. Лозинки, сесиски токени, неповрзани лични податоци и внатрешни имиња на домаќини не му помагаат на примачот и ја зголемуваат вашата изложеност. Чувајте го нередактираниот оригинал на место со ограничен пристап и запишан хаш ако инцидентот може да стане правен доказ. Командите подолу ги собираат јавните факти за адреса пред да напишете нешто.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Заменете ја адресата што навистина ја забележавте, и имајте на ум дека документациски опсег како горниот нема да врати жив запис. Ако излезот на whois наведе хостинг провајдер наместо брендот VPN, тој провајдер е вистинскиот примач, бидејќи ја има распределбата на адресата и односот со клиентот.

Обработете го одговорот и чувајте го записот

Тишината не значи дека ништо не се случило. Операторите рутински дејствуваат по пријава без да го известат пријавувачот, и затоа што не можат да откријат податоци за клиентот и затоа што нивната политика може да го забрани тоа. Кратко потврдување со број на случајот е најмногу што треба да очекувате, а барањето повеќе технички детали е добар знак, а не одложување.

Не објавувајте обвинение против адреса или провајдер додека пријавата е отворена. Означувањето на споделен излез како виновен ги казнува сите други клиенти на тој излез и може да му наштети на случајот ако подоцна стигне до правна постапка. Насоките на NIST за реакција на инциденти го третираат потеклото и доверливоста на записите за инциденти како дел од реакцијата, а не како документација потоа.

Затворете го кругот во сопствените записи: што испративте, на кого, кога и што се смени како резултат. Токму таа историја го претвора следниот инцидент од хаос во постапка со познат прв чекор.