Slik varslar du om misbrukstrafikk frå ein VPN-utgang

Trafikk frå ein VPN-utgang kan vere misbruk utan å fortelje deg kven som sende han, og varselet du skriv, er avhengig av kva av tre spørsmål du svarar på. Å stanse trafikken er di oppgåve i dag. Å ta vare på dokumentasjonen er ein prosedyre. Å identifisere ein person krev ein rettsleg prosess du truleg ikkje har. Varsel mislykkast når dei tre blir blanda i éi klage, fordi mottakaren berre kan handle på den delen han eig.

Skil dei tre spørsmåla først

Byrja med å avgjere kva resultat du vil ha. Viss målet er å stanse førespurnadene, kan du i dag blokkere adresseområdet, avgrense kontoen eller stramme inn endepunktet, og misbruksvarselet er sekundært. Viss målet er ein registrering som toler gransking, treng du tidsstempel, førespurnads-ID-ar og ein uredigert original oppbevart på ein trygg stad. Viss målet er eit namn bak adressa, treng du den rettslege prosessen til operatøren eller ein rettskjennelse, og inga privat klage erstattar han.

Blandar ein dei, får ein det klassiske ubrukelege varselet: eit sint avsnitt, inga tidssone, eit krav om abonnentopplysningar og inga tilvising til kva mottakaren kunne gjere sjølv om han ville hjelpe. Eit slikt varsel blir lukka utan handling, og avsendararen konkluderer med at misbruksskriveborda ikkje gjer noko. Mottakaren hadde ingenting å handle på.

Skriv ned dei tre svara før du opnar e-posten. Dei set tonen, lengda og førespurnaden.

Kva utgangsadressa beviser og kva ho ikkje beviser

Ei adresse knytt til ein VPN fortel deg kvar trafikken kom inn på internett, ikkje kven som starta han. Ein kommersiell utgang blir delt av mange kundar samstundes, og ein carrier-grade NAT framfor han kan dele éi offentleg adresse mellom tusenvis av abonnentar ved hjelp av portområde. RFC 6269 skildrar den adressedelingsmodellen, og den praktiske konsekvensen er at kjeldeadressa pluss eit tidsstempel berre kan identifisere ein abonnent viss operatøren framleis har mappinga for det augneblunken.

Registrer det du kan bevise. Det tyder tidsstempelet i UTC med den opphavlege sona notert, kjeldeadressa, kjeldeporten, protokollen og førespurnads-ID-en, og om handlinga kom frå ein autentisert konto eller ein anonym førespurnad. Ta vare på den rå registreringa, og lag så ein redigert kopi til mottakaren. Eit skjermbilde er ei dårleg erstatning for den opphavlege linja i loggen.

Oppbevaringsvindauge er korte og varierer mellom operatørar. Jo før du spør, jo større er sjansen for at mappinga framleis finst, og det er hovudargumentet for å varsle raskt sjølv når du alt har dempa problemet.

Vel kanalen som faktisk kan handle

Det finst tre kanalar, og dei er ikkje utskiftbare. Misbruksskrivebordet til utgangsoperatøren kan undersøkje sin eigen kunde og kan suspendere kontoen. Registerkontakten for adresseområdet kan peike deg mot rett operatør når whois-posten er utdatert eller høyrer til ein forhandlar. Rettssystemet handterer mistenkt kriminalitet, trugsmål og alvorlege kompromitteringar, og berre den kanalen kan tvinge fram utlevering i dei fleste jurisdiksjonar.

To tilhøve vel kanalen. Er hendinga pågåande, noko som talar for demping først og varsling parallelt, eller historisk, noko som talar for å ta vare på dokumentasjonen før alt anna? Treng du at trafikken stoppar, noko alle tre kan påverke, eller treng du ein identitet, som berre den rettslege vegen kan gje? Eit tredje tilhøve avgjer kor mange detaljar du sender: ein operatør som driv utgangen treng tekniske detaljar, medan ein registerkontakt berre treng adresseområdet og problemet.

Når hendinga er ein forbryting under utføring, er misbruksskrivebordet og styresmaktene ikkje alternativ. Varsle begge, og lat operatøren vite at ein rettsleg førespurnad kan følgje, slik at hans eigen oppbevaringspolicy blir utløyst.

Skriv varselet mottakaren kan handle på

Hald meldinga kort nok til å lesast på eitt minutt. Eitt avsnitt seier kva som skjedde og når, éin blokk listar dokumentasjonen med nøyaktige tidsstempel, éi linje seier kva du alt har gjort, og éi linje seier kva du ber om. Set førespurnaden om saksnummer til slutt, slik at ein travel analytikar kan svare med eit nummer i staden for ein samtale.

Fjern hemmelegheiter frå kopien du sender. Passord, sesjonstoken, uvedkommande personopplysningar og interne vertsnamn hjelper ikkje mottakaren og aukar din eigen eksponering. Oppbevar den uredigerte originalen på ein stad med avgrensa tilgang og ein registrert hash viss hendinga kan bli rettsleg bevis. Kommandoane nedanfor samlar dei offentlege fakta om ei adresse før du skriv noko.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Erstatt adressa du faktisk observerte, og merk at eit dokumentasjonsområde som det ovanfor ikkje returnerer ein levande post. Viss whois-utdata nemner ein vertsleverandør i staden for VPN-merket, er den leverandøren rett mottakar, fordi han har adressetildelinga og kundeforholdet.

Handter svaret og ta vare på registreringa

Stilla betyr ikkje at ingenting skjedde. Operatørar handlar rutinemessig på eit varsel utan å fortelje varslaren det, både fordi dei ikkje kan utlevere kundeopplysningar, og fordi policyen deira kan forby det. Ei kort stadfesting med saksnummer er det meste du bør vente, og ein førespurnad om fleire tekniske detaljar er eit godt teikn, ikkje ei forseinking.

Ikkje publiser ei skulding mot ei adresse eller ein leverandør medan eit varsel er ope. Å peike ut ein delt utgang som skuldig straffar alle andre kundar av den utgangen og kan skade saka viss ho seinare når ein rettsleg prosess. NIST si rettleiing for hendingshandtering handsamar opphav og konfidensialitet for hendingsregistreringar som ein del av handteringa, ikkje som papirarbeid i etterkant.

Lukk sirkelen i dine eigne registreringar: kva du sende, til kven, når, og kva som endra seg som følgje av det. Den historia er det som gjer den neste hendinga frå eit kaos til ein prosedyre med eit kjent første steg.