Kif tirrapporta traffiku abbużiv li ġej minn ħruġ VPN
Irrapporta abbuż minn ħruġ VPN: ifred it-twaqqif tat-traffiku mill-identifikazzjoni ta’ persuna, agħżel il-kanal li jista’ jaġixxi u ibgħat evidenza limitata.
Traffiku minn ħruġ VPN jista’ jkun abbużiv mingħajr ma jgħidlek min bagħtu, u r-rapport li tikteb jiddependi minn liema mit-tliet mistoqsijiet qed twieġeb. It-twaqqif tat-traffiku huwa xogħlok illum. Il-preservazzjoni tal-evidenza hija proċedura. L-identifikazzjoni ta’ persuna teħtieġ proċess legali li probabbilment m’għandekx. Ir-rapporti jfallu meta dawn it-tlieta jitħalltu fi lment wieħed, għax ir-riċevitur jista’ jaġixxi biss fuq il-parti li hija tiegħu.
L-ewwel ifred it-tliet mistoqsijiet
Ibda billi tiddeċiedi liema riżultat trid. Jekk l-għan huwa li twaqqaf it-talbiet, illum tista’ timblokka l-firxa tal-indirizzi, tillimita r-rata tal-kont jew issaħħaħ il-punt tat-tmiem, u r-rapport tal-abbuż huwa sekondarju. Jekk l-għan huwa rekord li jiflaħ skrutinju, għandek bżonn timbri tal-ħin, identifikaturi tat-talbiet u oriġinal mhux editjat maħżun f’post sikur. Jekk l-għan huwa isem wara l-indirizz, għandek bżonn il-proċess legali tal-operatur jew ordni tal-qorti, u l-ebda lment privat ma jissostitwixxih.
It-taħlit tagħhom jipproduċi r-rapport klassiku inutilizzabbli: paragrafu rrabjat, l-ebda żona tal-ħin, talba għad-dettalji tal-abbonat u l-ebda indikazzjoni ta’ x’jista’ jagħmel ir-riċevitur anke jekk ikun irid jgħin. Dak ir-rapport jingħalaq mingħajr azzjoni, u min jibgħat jikkonkludi li l-iskrivaniji tal-abbuż ma jagħmlu xejn. Ir-riċevitur ma kellu xejn li jaġixxi fuqu.
Ikteb it-tliet tweġibiet qabel ma tiftaħ il-posta elettronika. Huma jistabbilixxu t-ton, it-tul u t-talba.
X’jipprova l-indirizz tal-ħruġ u x’ma jippruvax
Indirizz assoċjat ma’ VPN jgħidlek minn fejn it-traffiku daħal fl-internet, mhux min bdah. Ħruġ kummerċjali jinqasam minn ħafna klijenti fl-istess ħin, u NAT fil-livell tat-trasportatur quddiemu jista’ jaqsam indirizz pubbliku wieħed fost eluf ta’ abbonati billi juża firxiet ta’ portijiet. RFC 6269 jiddeskrivi dak il-mudell ta’ qsim tal-indirizzi, u l-konsegwenza prattika hija li l-indirizz tas-sors flimkien ma’ timbru tal-ħin jistgħu jidentifikaw abbonat biss jekk l-operatur għadu jżomm il-mappa għal dak il-mument.
Irreġistra dak li tista’ tipprova. Jiġifieri t-timbru tal-ħin f’UTC biż-żona oriġinali annotata, l-indirizz tas-sors, il-port tas-sors, il-protokoll u l-identifikatur tat-talba, u jekk l-azzjoni ġietx minn kont awtentikat jew minn talba anonima. Żomm ir-rekord mhux maħdum, imbagħad ipprepara kopja editjata għar-riċevitur. L-iscreenshot huwa sostitut fqir għall-linja oriġinali fil-log.
Il-perjodi ta’ żamma huma qosra u jvarjaw skont l-operatur. Iktar ma tistaqsi kmieni, iktar huwa probabbli li l-mappa għadha teżisti, u dan huwa l-argument ewlieni biex tirrapporta malajr anke meta tkun diġà naqqast il-problema.
Agħżel il-kanal li jista’ tabilħaqq jaġixxi
Hemm tliet kanali u mhumiex interkambjabbli. L-iskrivanija tal-abbuż tal-operatur tal-ħruġ tista’ tinvestiga lill-klijent tagħha stess u tista’ tissospendi l-kont. Il-kuntatt tar-reġistru għall-firxa tal-indirizzi jista’ jindikak lill-operatur korrett meta r-rekord whois ikun antikwat jew ikun ta’ bejjiegħ mill-ġdid. L-infurzar tal-liġi jittratta reat suspettat, theddidiet u kompromess serju, u dak il-kanal biss jista’ jġiegħel l-iżvelar fil-biċċa l-kbira tal-ġurisdizzjonijiet.
| Channel | What it can do | What it cannot do |
|---|---|---|
| Exit operator abuse desk | Investigate, warn or suspend the account | Disclose a subscriber to a private complainant |
| Registry contact | Identify the network holder and its abuse address | Act on the incident itself |
| Law enforcement | Preserve and compel records under legal process | Move faster than your own mitigation |
Żewġ kundizzjonijiet jagħżlu l-kanal. L-inċident għaddej, li jiffavorixxi l-mitigazzjoni l-ewwel u rappurtar b’mod parallel, jew storiku, li jiffavorixxi l-preservazzjoni tal-evidenza qabel xejn? Għandek bżonn li t-traffiku jieqaf, li t-tlieta jistgħu jinfluwenzawh, jew għandek bżonn identità, li tista’ tingħata biss mit-triq legali? It-tielet kundizzjoni tiddeċiedi kemm dettall tibgħat: operatur li jmexxi l-ħruġ għandu bżonn dettalji tekniċi, filwaqt li kuntatt tar-reġistru għandu bżonn biss il-firxa tal-indirizzi u l-problema.
Meta l-inċident huwa reat li qed iseħħ, l-iskrivanija tal-abbuż u l-awtoritajiet mhumiex alternattivi. Irrapporta lit-tnejn, u għarraf lill-operatur li jista’ jiġi wara talba legali biex il-politika tiegħu ta’ żamma tiġi attivata.
Ikteb ir-rapport li r-riċevitur jista’ jaġixxi fuqu
Żomm il-messaġġ qasir biżżejjed biex jinqara f’minuta. Paragrafu wieħed jgħid x’ġara u meta, blokka waħda telenka l-evidenza bi timbri tal-ħin eżatti, linja waħda tgħid x’għamilt diġà u linja oħra tgħid x’qed titlob. Qiegħed it-talba għan-numru ta’ referenza tal-każ fl-aħħar biex analista impjegat jista’ jwieġeb b’numru minflok b’konverżazzjoni.
Neħħi s-sigrieti mill-kopja li tibgħat. Passwords, tokens tas-sessjoni, data personali mhux relatata u ismijiet ta’ hosts interni ma jgħinux lir-riċevitur u jżidu l-espożizzjoni tiegħek stess. Żomm l-oriġinal mhux editjat f’post b’aċċess limitat u hash irreġistrat jekk l-inċident jista’ jsir prova legali. Il-kmandi hawn taħt jiġbru l-fatti pubbliċi dwar indirizz qabel ma tikteb xi ħaġa.
whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20Issostitwixxi l-indirizz li osservajt verament, u innota li firxa ta’ dokumentazzjoni bħal dik ta’ fuq mhux se tirritorna rekord ħaj. Jekk l-output ta’ whois isemmi fornitur ta’ hosting minflok il-marka VPN, dak il-fornitur huwa r-riċevitur korrett, għax għandu l-allokazzjoni tal-indirizz u r-relazzjoni mal-klijent.
Ipproċessa t-tweġiba u żomm ir-rekord
Is-skiet ma jfissirx li ma ġara xejn. L-operaturi normalment jaġixxu fuq rapport mingħajr ma jgħidu lir-rappurtatur, kemm għax ma jistgħux jiżvelaw informazzjoni tal-klijent kif ukoll għax il-politika tagħhom tista’ tipprojbixxi dan. Konferma qasira b’numru tal-każ hija l-massimu li għandek tistenna, u talba għal aktar dettall tekniku hija sinjal tajjeb, mhux dewmien.
Tippubblikax akkuża kontra indirizz jew fornitur waqt li rapport ikun miftuħ. Li ssemmi ħruġ kondiviż bħala l-ħati jikkastiga kull klijent ieħor ta’ dak il-ħruġ u jista’ jikkomprometti l-każ jekk aktar tard jasal għal proċess legali. Il-gwida NIST għar-rispons għall-inċidenti tqis il-provenjenza u l-kunfidenzjalità tar-rekords tal-inċident bħala parti mir-rispons, mhux bħala xogħol tal-karti warajh.
Agħlaq iċ-ċirku fir-rekords tiegħek stess: x’bgħatt, lil min, meta, u x’inbidel b’riżultat ta’ dan. Dik l-istorja hija dik li tibdel l-inċident li jmiss minn konfużjoni fi proċedura b’pass ewwel magħruf.