Slik varsler du om misbrukstrafikk fra en VPN-utgang

Trafikk fra en VPN-utgang kan være misbruk uten å fortelle deg hvem som sendte den, og varselet du skriver avhenger av hvilket av tre spørsmål du besvarer. Å stanse trafikken er din oppgave i dag. Å bevare dokumentasjonen er en prosedyre. Å identifisere en person krever en rettslig prosess du sannsynligvis ikke har. Varsler mislykkes når de tre blandes i én klage, fordi mottakeren bare kan handle på den delen den eier.

Skill de tre spørsmålene først

Begynn med å bestemme hvilket resultat du vil ha. Hvis målet er å stanse forespørslene, kan du i dag blokkere adresseområdet, begrense kontoen eller stramme inn endepunktet, og misbruksvarselet er sekundært. Hvis målet er en registrering som tåler gransking, trenger du tidsstempler, forespørsels-ID-er og en uredigert original oppbevart på et trygt sted. Hvis målet er et navn bak adressen, trenger du operatørens rettslige prosess eller en rettskjennelse, og ingen privat klage erstatter den.

Blander man dem, får man det klassiske ubrukelige varselet: et sint avsnitt, ingen tidssone, et krav om abonnentopplysninger og ingen antydning om hva mottakeren kunne gjøre selv om den ville hjelpe. Et slikt varsel lukkes uten handling, og avsenderen konkluderer med at misbruksskrivebordene ikke gjør noe. Mottakeren hadde ingenting å handle på.

Skriv ned de tre svarene før du åpner e-posten. De setter tonen, lengden og anmodningen.

Hva utgangsadressen beviser og hva den ikke beviser

En adresse knyttet til en VPN forteller deg hvor trafikken kom inn på internett, ikke hvem som startet den. En kommersiell utgang deles av mange kunder samtidig, og en carrier-grade NAT foran den kan dele én offentlig adresse mellom tusenvis av abonnenter ved hjelp av portområder. RFC 6269 beskriver den adressedelingsmodellen, og den praktiske konsekvensen er at kildeadressen pluss et tidsstempel bare kan identifisere en abonnent hvis operatøren fortsatt har mappingen for det øyeblikket.

Registrer det du kan bevise. Det betyr tidsstemplet i UTC med den opprinnelige sonen notert, kildeadressen, kildeporten, protokollen og forespørsels-ID-en, og om handlingen kom fra en autentisert konto eller en anonym forespørsel. Ta vare på den rå registreringen, og lag deretter en redigert kopi til mottakeren. Et skjermbilde er en dårlig erstatning for den opprinnelige linjen i loggen.

Oppbevaringsvinduene er korte og varierer mellom operatører. Jo før du spør, jo større er sannsynligheten for at mappingen fortsatt finnes, og det er hovedargumentet for å varsle raskt selv når du allerede har dempet problemet.

Velg kanalen som faktisk kan handle

Det finnes tre kanaler, og de er ikke utskiftbare. Utgangsoperatørens misbruksskrivebord kan undersøke sin egen kunde og kan suspendere kontoen. Registerkontakten for adresseområdet kan peke deg mot riktig operatør når whois-posten er utdatert eller tilhører en forhandler. Rettssystemet håndterer mistenkt kriminalitet, trusler og alvorlige kompromitteringer, og bare den kanalen kan tvinge frem utlevering i de fleste jurisdiksjoner.

To forhold velger kanalen. Er hendelsen pågående, noe som taler for demping først og varsling parallelt, eller historisk, noe som taler for å bevare dokumentasjonen før alt annet? Trenger du at trafikken stopper, noe alle tre kan påvirke, eller trenger du en identitet, som bare den rettslige veien kan gi? Et tredje forhold avgjør hvor mange detaljer du sender: en operatør som driver utgangen trenger tekniske detaljer, mens en registerkontakt bare trenger adresseområdet og problemet.

Når hendelsen er en forbrytelse under utførelse, er misbruksskrivebordet og myndighetene ikke alternativer. Varsle begge, og la operatøren vite at en rettslig anmodning kan følge, slik at dens egen oppbevaringspolicy utløses.

Skriv varselet mottakeren kan handle på

Hold meldingen kort nok til å leses på ett minutt. Ett avsnitt sier hva som skjedde og når, én blokk lister dokumentasjonen med nøyaktige tidsstempler, én linje sier hva du allerede har gjort, og én linje sier hva du ber om. Sett anmodningen om saksnummer til slutt, slik at en travel analytiker kan svare med et nummer i stedet for en samtale.

Fjern hemmeligheter fra kopien du sender. Passord, sesjonstokener, uvedkommende personopplysninger og interne vertsnavn hjelper ikke mottakeren og øker din egen eksponering. Oppbevar den uredigerte originalen på et sted med begrenset tilgang og en registrert hash hvis hendelsen kan bli rettslig bevis. Kommandoene nedenfor samler de offentlige faktaene om en adresse før du skriver noe.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Erstatt adressen du faktisk observerte, og merk at et dokumentasjonsområde som det ovenfor ikke returnerer en levende post. Hvis whois-utdataene nevner en hostingleverandør i stedet for VPN-merket, er den leverandøren riktig mottaker, fordi den har adressetildelingen og kundeforholdet.

Håndter svaret og ta vare på registreringen

Stillhet betyr ikke at ingenting skjedde. Operatører handler rutinemessig på et varsel uten å fortelle varsleren det, både fordi de ikke kan utlevere kundeopplysninger, og fordi policyen deres kan forby det. En kort bekreftelse med saksnummer er det meste du bør forvente, og en anmodning om flere tekniske detaljer er et godt tegn, ikke en forsinkelse.

Ikke publiser en anklage mot en adresse eller en leverandør mens et varsel er åpent. Å peke ut en delt utgang som skyldig straffer alle andre kunder av den utgangen og kan skade saken hvis den senere når en rettslig prosess. NISTs veiledning for hendelseshåndtering behandler opprinnelse og konfidensialitet for hendelsesregistreringer som en del av håndteringen, ikke som papirarbeid i etterkant.

Lukk sirkelen i dine egne registreringer: hva du sendte, til hvem, når, og hva som endret seg som følge av det. Den historikken er det som gjør den neste hendelsen fra et kaos til en prosedyre med et kjent første steg.