Как сообщить о злоупотреблении, идущем с выхода VPN

Трафик с выхода VPN может быть злоупотреблением и не сообщать вам, кто его отправил, а отчёт, который вы пишете, зависит от того, на какой из трёх вопросов отвечаете. Остановить трафик — сегодня ваша задача. Сохранение доказательств — это процедура. Идентификация человека требует юридического процесса, которого у вас, скорее всего, нет. Отчёты проваливаются, когда эти три смешиваются в одну жалобу, потому что получатель может действовать только в той части, которая принадлежит ему.

Сначала разделите три вопроса

Начните с решения, какого результата вы хотите. Если цель — остановить запросы, сегодня вы можете заблокировать диапазон адресов, ограничить учётную запись или ужесточить конечную точку, и отчёт о злоупотреблении вторичен. Если цель — запись, которая выдержит проверку, вам нужны метки времени, идентификаторы запросов и неизменённый оригинал, хранящийся в безопасном месте. Если цель — имя за адресом, вам нужен юридический процесс оператора или решение суда, и никакая частная жалоба это не заменяет.

Их смешение даёт классический непригодный отчёт: разгневанный абзац, нет часового пояса, требование данных абонента и ни малейшего указания, что получатель мог бы сделать, даже если бы хотел помочь. Такой отчёт закрывается без действий, и отправитель делает вывод, что службы злоупотреблений ничего не делают. Получателю не с чем было работать.

Запишите три ответа, прежде чем открыть письмо. Они задают тон, длину и просьбу.

Что доказывает адрес выхода и что нет

Адрес, связанный с VPN, говорит, откуда трафик вошёл в интернет, а не кто его начал. Коммерческий выход одновременно используют многие клиенты, а NAT операторского класса перед ним может делить один публичный адрес между тысячами абонентов с помощью диапазонов портов. RFC 6269 описывает эту модель совместного использования адресов, и практическое следствие: адрес источника плюс метка времени могут идентифицировать абонента, только если оператор всё ещё хранит соответствие для того момента.

Фиксируйте то, что можете доказать. Это метка времени в UTC с указанием исходного пояса, адрес источника, порт источника, протокол и идентификатор запроса, а также то, пришло ли действие из аутентифицированной учётной записи или из анонимного запроса. Сохраните сырую запись, затем подготовьте отредактированную копию для получателя. Скриншот — плохая замена исходной строке в журнале.

Сроки хранения короткие и различаются у разных операторов. Чем раньше вы спросите, тем выше вероятность, что соответствие ещё существует, и это главный аргумент за быстрый отчёт, даже когда проблему уже смягчили.

Выберите канал, который действительно может действовать

Существуют три канала, и они не взаимозаменяемы. Служба злоупотреблений оператора выхода может расследовать собственного клиента и может приостановить учётную запись. Контакт реестра для диапазона адресов может указать правильного оператора, когда запись whois устарела или принадлежит перепродавцу. Правоохранительные органы занимаются предполагаемым преступлением, угрозами и серьёзными нарушениями, и только этот канал может принудить к раскрытию в большинстве юрисдикций.

Канал выбирают два условия. Инцидент продолжается, что говорит за сначала смягчение и параллельный отчёт, или он исторический, что говорит за сохранение доказательств прежде всего? Вам нужно, чтобы трафик остановился, на что могут повлиять все три, или вам нужна личность, которую может дать только юридический путь? Третье условие решает, сколько деталей отправить: оператору, который управляет выходом, нужны технические подробности, а контакту реестра нужны только диапазон адресов и проблема.

Когда инцидент — продолжающееся преступление, служба злоупотреблений и власти не являются альтернативами. Сообщите обоим и уведомьте оператора, что может последовать юридический запрос, чтобы его собственная политика хранения сработала.

Напишите отчёт, по которому получатель может действовать

Держите сообщение достаточно коротким, чтобы прочитать за минуту. Один абзац говорит, что и когда произошло, один блок перечисляет доказательства с точными метками времени, одна строка говорит, что вы уже сделали, и одна строка — что просите. Просьбу о номере дела поставьте в конце, чтобы занятой аналитик мог ответить номером, а не разговором.

Удалите секреты из копии, которую отправляете. Пароли, токены сеансов, не относящиеся к делу личные данные и внутренние имена хостов не помогают получателю и повышают вашу собственную уязвимость. Храните неотредактированный оригинал в месте с ограниченным доступом и записанным хешем, если инцидент может стать юридическим доказательством. Команды ниже собирают публичные факты об адресе, прежде чем вы что-либо напишете.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Замените адрес, который вы действительно наблюдали, и учтите, что документационный диапазон, подобный приведённому выше, не вернёт живую запись. Если вывод whois называет хостинг-провайдера, а не бренд VPN, именно этот провайдер является правильным получателем, потому что он держит распределение адреса и отношения с клиентом.

Обработайте ответ и сохраните запись

Молчание не означает, что ничего не произошло. Операторы регулярно действуют по отчёту, не сообщая об этом заявителю, поскольку не могут раскрывать данные клиента и поскольку их политика может это запрещать. Краткое подтверждение с номером дела — максимум, на который стоит рассчитывать, а просьба прислать больше технических деталей — хороший признак, а не задержка.

Не публикуйте обвинение в адрес адреса или провайдера, пока отчёт открыт. Назвать общий выход виновным — значит наказать каждого другого клиента этого выхода, и это может повредить делу, если оно позже дойдёт до юридического процесса. Руководство NIST по реагированию на инциденты считает происхождение и конфиденциальность записей об инциденте частью реагирования, а не бумажной работой после него.

Замкните цикл в своих записях: что вы отправили, кому, когда и что изменилось в результате. Именно эта история превращает следующий инцидент из суматохи в процедуру с известным первым шагом.