Cara melaporkan trafik penyalahgunaan daripada pintu keluar VPN
Laporkan penyalahgunaan daripada pintu keluar VPN: asingkan penghentian trafik daripada pengenalpastian seseorang, pilih saluran yang benar-benar boleh bertindak dan hantar bukti terhad.
Trafik daripada pintu keluar VPN boleh bersifat penyalahgunaan tanpa memberitahu anda siapa pengirimnya, dan laporan yang anda tulis bergantung pada soalan mana antara tiga yang anda jawab. Menghentikan trafik ialah tugas anda hari ini. Memelihara bukti ialah prosedur. Mengenal pasti seseorang memerlukan proses undang-undang yang mungkin tiada pada anda. Laporan gagal apabila ketiga-tiganya dicampur dalam satu aduan, kerana penerima hanya boleh bertindak pada bahagian yang dimilikinya.
Asingkan tiga soalan itu dahulu
Mulakan dengan memutuskan hasil yang anda mahu. Jika matlamatnya ialah menghentikan permintaan, hari ini anda boleh menyekat julat alamat, mengehadkan kadar akaun atau memperketat titik akhir, dan laporan penyalahgunaan adalah sampingan. Jika matlamatnya ialah rekod yang tahan penelitian, anda memerlukan cap masa, pengecam permintaan dan salinan asal tanpa suntingan yang disimpan di tempat selamat. Jika matlamatnya ialah nama di sebalik alamat, anda memerlukan proses undang-undang pengendali atau perintah mahkamah, dan tiada aduan peribadi menggantikannya.
Mencampurkannya menghasilkan laporan klasik yang tidak berguna: perenggan marah, tiada zon waktu, tuntutan butiran pelanggan dan tiada petunjuk apa yang boleh dilakukan penerima walaupun ingin membantu. Laporan itu ditutup tanpa tindakan, dan pengirim menyimpulkan bahawa meja penyalahgunaan tidak melakukan apa-apa. Penerima tiada apa-apa untuk diambil tindakan.
Tulis ketiga-tiga jawapan sebelum anda membuka e-mel. Ia menentukan nada, panjang dan permintaan.
Apa yang dibuktikan oleh alamat keluar dan apa yang tidak
Alamat yang dikaitkan dengan VPN memberitahu anda dari mana trafik masuk ke internet, bukan siapa yang memulakannya. Pintu keluar komersial dikongsi oleh banyak pelanggan serentak, dan NAT peringkat pembawa di hadapannya boleh berkongsi satu alamat awam antara beribu-ribu pelanggan menggunakan julat port. RFC 6269 menerangkan model perkongsian alamat itu, dan akibat praktikalnya ialah alamat sumber serta cap masa hanya boleh mengenal pasti pelanggan jika pengendali masih menyimpan pemetaan untuk saat itu.
Rekod apa yang anda boleh buktikan. Iaitu cap masa dalam UTC dengan zon asal dicatatkan, alamat sumber, port sumber, protokol dan pengecam permintaan, serta sama ada tindakan itu datang daripada akaun yang disahkan atau permintaan tanpa nama. Simpan rekod mentah, kemudian sediakan salinan yang disunting untuk penerima. Tangkapan skrin ialah pengganti yang lemah bagi baris asal dalam log.
Tetingkap penyimpanan adalah singkat dan berbeza antara pengendali. Semakin awal anda bertanya, semakin besar kemungkinan pemetaan masih wujud, dan itulah hujah utama untuk melapor dengan cepat walaupun anda sudah mengurangkan masalahnya.
Pilih saluran yang benar-benar boleh bertindak
Terdapat tiga saluran dan ia tidak boleh ditukar ganti. Meja penyalahgunaan pengendali keluar boleh menyiasat pelanggannya sendiri dan mungkin menggantung akaun. Hubungan pendaftar bagi julat alamat boleh menunjukkan pengendali yang betul apabila rekod whois sudah lapuk atau milik penjual semula. Penguatkuasaan undang-undang mengendalikan jenayah yang disyaki, ugutan dan kompromi serius, dan hanya saluran itu boleh memaksa pendedahan di kebanyakan bidang kuasa.
| Channel | What it can do | What it cannot do |
|---|---|---|
| Exit operator abuse desk | Investigate, warn or suspend the account | Disclose a subscriber to a private complainant |
| Registry contact | Identify the network holder and its abuse address | Act on the incident itself |
| Law enforcement | Preserve and compel records under legal process | Move faster than your own mitigation |
Dua keadaan memilih saluran. Adakah insiden sedang berlaku, yang menyokong pengurangan dahulu dan laporan secara selari, atau ia sejarah, yang menyokong pemeliharaan bukti sebelum apa-apa lagi? Adakah anda memerlukan trafik berhenti, yang boleh dipengaruhi ketiga-tiganya, atau memerlukan identiti, yang hanya boleh dihasilkan laluan undang-undang? Keadaan ketiga menentukan berapa banyak butiran untuk dihantar: pengendali yang mengendalikan pintu keluar memerlukan butiran teknikal, manakala hubungan pendaftar hanya memerlukan julat alamat dan masalahnya.
Apabila insiden itu ialah jenayah yang sedang berlaku, meja penyalahgunaan dan pihak berkuasa bukan alternatif. Laporkan kepada kedua-duanya, dan beritahu pengendali bahawa permintaan undang-undang mungkin menyusul supaya polisi penyimpanannya sendiri dicetuskan.
Tulis laporan yang boleh diambil tindakan oleh penerima
Pastikan mesej cukup pendek untuk dibaca dalam satu minit. Satu perenggan menyatakan apa yang berlaku dan bila, satu blok menyenaraikan bukti dengan cap masa tepat, satu baris menyatakan apa yang telah anda lakukan dan satu baris menyatakan apa yang anda minta. Letakkan permintaan nombor rujukan kes di hujung supaya penganalisis sibuk boleh membalas dengan nombor dan bukannya perbualan.
Buang rahsia daripada salinan yang anda hantar. Kata laluan, token sesi, data peribadi yang tidak berkaitan dan nama hos dalaman tidak membantu penerima dan meningkatkan pendedahan anda sendiri. Simpan salinan asal tanpa suntingan di lokasi dengan akses terhad dan cincangan yang direkodkan jika insiden itu boleh menjadi bukti undang-undang. Arahan di bawah mengumpul fakta awam tentang sesuatu alamat sebelum anda menulis apa-apa.
whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20Gantikan dengan alamat yang benar-benar anda perhatikan, dan ambil perhatian bahawa julat dokumentasi seperti di atas tidak akan mengembalikan rekod hidup. Jika output whois menyebut penyedia pengehosan dan bukannya jenama VPN, penyedia itulah penerima yang betul, kerana ia memegang peruntukan alamat dan hubungan pelanggan.
Kendalikan balasan dan simpan rekod
Diam bukan bermakna tiada apa yang berlaku. Pengendali bertindak secara rutin atas laporan tanpa memberitahu pelapor, sama ada kerana tidak boleh mendedahkan maklumat pelanggan atau kerana polisi mereka melarangnya. Pengakuan ringkas dengan nombor kes ialah maksimum yang patut anda harapkan, dan permintaan butiran teknikal tambahan ialah tanda baik, bukan kelewatan.
Jangan terbitkan tuduhan terhadap alamat atau penyedia selagi laporan masih terbuka. Menamakan pintu keluar yang dikongsi sebagai punca menghukum setiap pelanggan lain pintu keluar itu dan boleh menjejaskan kes jika ia kemudian sampai ke proses undang-undang. Panduan tindak balas insiden NIST menganggap asal usul dan kerahsiaan rekod insiden sebagai bahagian tindak balas, bukan kerja kertas selepasnya.
Tutup gelung dalam rekod anda sendiri: apa yang dihantar, kepada siapa, bila, dan apa yang berubah akibatnya. Sejarah itulah yang menjadikan insiden seterusnya daripada keadaan kelam-kabut kepada prosedur dengan langkah pertama yang diketahui.