Jak zgłosić ruch nadużyć pochodzący z wyjścia VPN

Ruch z wyjścia VPN może być nadużyciem, nie mówiąc ci, kto go wysłał, a zgłoszenie, które piszesz, zależy od tego, na które z trzech pytań odpowiadasz. Zatrzymanie ruchu to dziś twoje zadanie. Zachowanie dowodów to procedura. Zidentyfikowanie osoby wymaga procesu prawnego, którego prawdopodobnie nie masz. Zgłoszenia zawodzą, gdy te trzy rzeczy mieszają się w jednej skardze, ponieważ odbiorca może działać tylko w tej części, która jest jego.

Najpierw oddziel trzy pytania

Zacznij od decyzji, jaki wynik chcesz uzyskać. Jeśli celem jest zatrzymanie żądań, możesz dziś zablokować zakres adresów, ograniczyć konto lub zaostrzyć punkt końcowy, a zgłoszenie nadużycia jest drugorzędne. Jeśli celem jest zapis, który przetrwa weryfikację, potrzebujesz znaczników czasu, identyfikatorów żądań i nieedytowanego oryginału przechowywanego w bezpiecznym miejscu. Jeśli celem jest nazwisko za adresem, potrzebujesz procesu prawnego operatora lub postanowienia sądu, i żadna prywatna skarga tego nie zastąpi.

Mieszanie ich daje klasyczne bezużyteczne zgłoszenie: gniewny akapit, brak strefy czasowej, żądanie danych abonenta i żadnej wskazówki, co odbiorca mógłby zrobić, nawet gdyby chciał pomóc. Takie zgłoszenie zostaje zamknięte bez działania, a nadawca dochodzi do wniosku, że działy nadużyć nic nie robią. Odbiorca nie miał na czym działać.

Zapisz trzy odpowiedzi, zanim otworzysz e-mail. One ustalają ton, długość i prośbę.

Co dowodzi adres wyjścia, a czego nie

Adres powiązany z VPN mówi ci, skąd ruch wszedł do internetu, a nie kto go zainicjował. Komercyjne wyjście jest współdzielone przez wielu klientów jednocześnie, a NAT na poziomie operatora przed nim może dzielić jeden publiczny adres między tysiące abonentów za pomocą zakresów portów. RFC 6269 opisuje ten model współdzielenia adresów, a praktyczna konsekwencja jest taka, że adres źródłowy i znacznik czasu mogą zidentyfikować abonenta tylko wtedy, gdy operator nadal przechowuje mapowanie dla tej chwili.

Zapisuj to, co możesz udowodnić. To znaczy znacznik czasu w UTC z odnotowaną strefą oryginalną, adres źródłowy, port źródłowy, protokół i identyfikator żądania oraz to, czy działanie pochodziło z uwierzytelnionego konta, czy z anonimowego żądania. Zachowaj surowy zapis, a następnie przygotuj zredagowaną kopię dla odbiorcy. Zrzut ekranu jest słabym zamiennikiem oryginalnej linii w logu.

Okresy przechowywania są krótkie i różnią się w zależności od operatora. Im wcześniej zapytasz, tym większa szansa, że mapowanie nadal istnieje, i to jest główny argument za szybkim zgłoszeniem, nawet gdy problem został już złagodzony.

Wybierz kanał, który naprawdę może działać

Istnieją trzy kanały i nie są wymienne. Dział nadużyć operatora wyjścia może zbadać własnego klienta i może zawiesić konto. Kontakt rejestru dla zakresu adresów może wskazać właściwego operatora, gdy wpis whois jest nieaktualny lub należy do odsprzedawcy. Organy ścigania zajmują się podejrzeniem przestępstwa, groźbami i poważnymi naruszeniami, i tylko ten kanał może wymusić ujawnienie w większości jurysdykcji.

Kanał wybierają dwa warunki. Czy incydent trwa, co przemawia za najpierw łagodzeniem i równoległym zgłoszeniem, czy jest historyczny, co przemawia za zachowaniem dowodów przede wszystkim? Czy potrzebujesz zatrzymania ruchu, na co mogą wpłynąć wszystkie trzy, czy potrzebujesz tożsamości, którą może dać tylko droga prawna? Trzeci warunek decyduje, ile szczegółów wysłać: operator prowadzący wyjście potrzebuje danych technicznych, a kontakt rejestru tylko zakresu adresów i problemu.

Gdy incydent jest trwającym przestępstwem, dział nadużyć i władze nie są alternatywami. Zgłoś obu i poinformuj operatora, że może nastąpić wniosek prawny, aby jego własna polityka przechowywania została uruchomiona.

Napisz zgłoszenie, na którym odbiorca może działać

Trzymaj wiadomość na tyle krótką, by przeczytać ją w minutę. Jeden akapit mówi, co się stało i kiedy, jeden blok wymienia dowody z dokładnymi znacznikami czasu, jedna linia mówi, co już zrobiłeś, a jedna linia mówi, o co prosisz. Prośbę o numer referencyjny sprawy umieść na końcu, aby zapracowany analityk mógł odpowiedzieć numerem, a nie rozmową.

Usuń sekrety z kopii, którą wysyłasz. Hasła, tokeny sesji, niepowiązane dane osobowe i wewnętrzne nazwy hostów nie pomagają odbiorcy i zwiększają twoje własne ryzyko. Przechowuj nieedytowany oryginał w miejscu o ograniczonym dostępie i z zapisanym skrótem, jeśli incydent może stać się dowodem prawnym. Poniższe polecenia zbierają publiczne fakty o adresie, zanim cokolwiek napiszesz.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Zastąp adres, który faktycznie zaobserwowałeś, i pamiętaj, że zakres dokumentacyjny jak powyżej nie zwróci żywego rekordu. Jeśli wynik whois wskazuje dostawcę hostingu zamiast marki VPN, ten dostawca jest właściwym adresatem, ponieważ ma przydział adresu i relację z klientem.

Obsłuż odpowiedź i zachowaj zapis

Cisza nie oznacza, że nic się nie stało. Operatorzy rutynowo działają na podstawie zgłoszenia, nie informując o tym zgłaszającego, zarówno dlatego, że nie mogą ujawnić informacji o kliencie, jak i dlatego, że ich polityka może tego zabraniać. Krótkie potwierdzenie z numerem sprawy to maksimum, na które możesz liczyć, a prośba o więcej szczegółów technicznych jest dobrym znakiem, a nie opóźnieniem.

Nie publikuj oskarżenia wobec adresu ani dostawcy, dopóki zgłoszenie jest otwarte. Wskazanie współdzielonego wyjścia jako winnego karze każdego innego klienta tego wyjścia i może zaszkodzić sprawie, jeśli później trafi ona do procesu prawnego. Wytyczne NIST dotyczące reagowania na incydenty traktują pochodzenie i poufność zapisów incydentu jako część reagowania, a nie papierkową robotę po nim.

Zamknij pętlę we własnych zapisach: co wysłałeś, do kogo, kiedy i co się w efekcie zmieniło. To ta historia zamienia następny incydent z chaosu w procedurę ze znanym pierwszym krokiem.