Cum să raportezi traficul abuziv care vine dintr-o ieșire VPN

Traficul de la o ieșire VPN poate fi abuziv fără să-ți spună cine l-a trimis, iar raportul pe care îl scrii depinde de care dintre cele trei întrebări răspunzi. Oprirea traficului este treaba ta astăzi. Păstrarea dovezilor este o procedură. Identificarea unei persoane necesită un proces legal pe care probabil nu îl ai. Rapoartele eșuează când acestea trei se amestecă într-o singură plângere, pentru că destinatarul poate acționa doar asupra părții care îi aparține.

Separă mai întâi cele trei întrebări

Începe prin a decide ce rezultat vrei. Dacă scopul este oprirea cererilor, astăzi poți bloca intervalul de adrese, limita contul sau înăspri punctul final, iar raportul de abuz este secundar. Dacă scopul este o înregistrare care rezistă unei verificări, ai nevoie de marcaje temporale, identificatori de cerere și un original needitat păstrat într-un loc sigur. Dacă scopul este un nume din spatele adresei, ai nevoie de procesul legal al operatorului sau de o ordonanță judecătorească, iar nicio plângere privată nu îl înlocuiește.

Amestecarea lor produce raportul clasic inutilizabil: un paragraf furios, nicio zonă orară, o cerere de date ale abonatului și nicio indicație despre ce ar putea face destinatarul chiar dacă ar vrea să ajute. Acel raport este închis fără acțiune, iar expeditorul concluzionează că birourile de abuz nu fac nimic. Destinatarul nu avea pe ce să acționeze.

Scrie cele trei răspunsuri înainte de a deschide e-mailul. Ele stabilesc tonul, lungimea și cererea.

Ce dovedește adresa de ieșire și ce nu

O adresă asociată cu un VPN îți spune unde a intrat traficul în internet, nu cine l-a inițiat. O ieșire comercială este partajată de mulți clienți simultan, iar un NAT de nivel de operator din fața ei poate partaja o adresă publică între mii de abonați folosind intervale de porturi. RFC 6269 descrie acel model de partajare a adreselor, iar consecința practică este că adresa sursă plus un marcaj temporal pot identifica un abonat doar dacă operatorul mai păstrează maparea pentru acel moment.

Înregistrează ce poți dovedi. Adică marcajul temporal în UTC cu zona originală notată, adresa sursă, portul sursă, protocolul și identificatorul cererii, și dacă acțiunea a venit de la un cont autentificat sau de la o cerere anonimă. Păstrează înregistrarea brută, apoi pregătește o copie editată pentru destinatar. O captură de ecran este un substitut slab pentru linia originală din jurnal.

Perioadele de păstrare sunt scurte și diferă de la operator la operator. Cu cât întrebi mai devreme, cu atât e mai probabil ca maparea să existe încă, și acesta este principalul argument pentru raportare rapidă chiar și când ai atenuat deja problema.

Alege canalul care poate acționa cu adevărat

Există trei canale și nu sunt interschimbabile. Biroul de abuz al operatorului de ieșire poate investiga propriul client și poate suspenda contul. Contactul registrului pentru intervalul de adrese te poate îndruma către operatorul corect când înregistrarea whois este învechită sau aparține unui revânzător. Autoritățile de aplicare a legii se ocupă de infracțiuni suspectate, amenințări și compromiteri grave, și doar acel canal poate obliga la divulgare în majoritatea jurisdicțiilor.

Două condiții aleg canalul. Incidentul este în curs, ceea ce susține atenuarea mai întâi și raportarea în paralel, sau este istoric, ceea ce susține păstrarea dovezilor înainte de orice? Ai nevoie ca traficul să se oprească, lucru pe care toate trei îl pot influența, sau ai nevoie de o identitate, pe care doar calea legală o poate oferi? O a treia condiție decide cât de mult detaliu să trimiți: un operator care administrează ieșirea are nevoie de detalii tehnice, în timp ce un contact de registru are nevoie doar de intervalul de adrese și de problemă.

Când incidentul este o infracțiune în curs, biroul de abuz și autoritățile nu sunt alternative. Raportează la ambele și anunță operatorul că poate urma o solicitare legală, pentru ca propria sa politică de păstrare să fie activată.

Scrie raportul pe care destinatarul poate acționa

Ține mesajul suficient de scurt pentru a fi citit într-un minut. Un paragraf spune ce s-a întâmplat și când, un bloc listează dovezile cu marcaje temporale exacte, o linie spune ce ai făcut deja și o linie spune ce ceri. Pune cererea de număr de referință al cazului la final, pentru ca un analist ocupat să poată răspunde cu un număr în loc de o conversație.

Elimină secretele din copia pe care o trimiți. Parolele, tokenurile de sesiune, datele personale fără legătură și numele de gazdă interne nu ajută destinatarul și îți cresc propria expunere. Păstrează originalul needitat într-un loc cu acces restricționat și un hash înregistrat dacă incidentul poate deveni probă legală. Comenzile de mai jos colectează faptele publice despre o adresă înainte să scrii ceva.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Înlocuiește adresa pe care ai observat-o efectiv, și reține că un interval de documentare ca cel de mai sus nu va returna o înregistrare reală. Dacă rezultatul whois indică un furnizor de găzduire în loc de marca VPN, acel furnizor este destinatarul corect, pentru că deține alocarea adresei și relația cu clientul.

Tratează răspunsul și păstrează înregistrarea

Tăcerea nu înseamnă că nu s-a întâmplat nimic. Operatorii acționează de obicei pe baza unui raport fără să spună acest lucru raportorului, atât pentru că nu pot divulga informații despre client, cât și pentru că politica lor poate interzice acest lucru. O confirmare scurtă cu un număr de caz este maximul la care ar trebui să te aștepți, iar o cerere de mai multe detalii tehnice este un semn bun, nu o întârziere.

Nu publica o acuzație împotriva unei adrese sau a unui furnizor cât timp un raport este deschis. A numi o ieșire partajată drept vinovată pedepsește fiecare alt client al acelei ieșiri și poate prejudicia cazul dacă ajunge mai târziu la un proces legal. Ghidul NIST de răspuns la incidente tratează proveniența și confidențialitatea înregistrărilor de incident ca parte a răspunsului, nu ca hârtii de după.

Închide bucla în propriile înregistrări: ce ai trimis, cui, când și ce s-a schimbat ca urmare. Acea istorie este ce transformă următorul incident dintr-o învălmășeală într-o procedură cu un prim pas cunoscut.