Kako prijaviti zloupotrebu koja dolazi s VPN izlaza

Promet s VPN izlaza može biti zloupotreba iako vam ne kaže tko ga je poslao, a prijava koju pišete ovisi o tome na koje od tri pitanja odgovarate. Zaustavljanje prometa danas je vaš posao. Čuvanje dokaza je postupak. Identifikacija osobe zahtijeva pravni postupak koji vjerojatno nemate. Prijave propadaju kada se ta tri pomiješaju u jednu žalbu, jer primatelj može djelovati samo na dijelu koji posjeduje.

Prvo razdvojite tri pitanja

Počnite odlukom kakav ishod želite. Ako je cilj zaustaviti zahtjeve, danas možete blokirati raspon adresa, ograničiti račun ili pooštriti krajnju točku, a prijava zloupotrebe je sporedna. Ako je cilj zapis koji izdrži provjeru, potrebni su vam vremenske oznake, identifikatori zahtjeva i neredigirani izvornik pohranjen na sigurnom mjestu. Ako je cilj ime iza adrese, potreban vam je pravni postupak operatera ili sudska naredba i nikakva privatna žalba to ne zamjenjuje.

Njihovo miješanje stvara klasičnu neupotrebljivu prijavu: bijesan odlomak, bez vremenske zone, zahtjev za podatke o pretplatniku i nikakva naznaka što bi primatelj mogao učiniti čak i da želi pomoći. Takva prijava se zatvara bez djelovanja, a pošiljatelj zaključuje da službe za zloupotrebe ne rade ništa. Primatelj nije imao ništa na što bi mogao djelovati.

Zapišite tri odgovora prije nego što otvorite e-poštu. Oni određuju ton, dužinu i zahtjev.

Što adresa izlaza dokazuje i što ne

Adresa povezana s VPN-om govori vam gdje je promet ušao u internet, a ne tko ga je pokrenuo. Komercijalni izlaz dijeli mnogo korisnika istodobno, a NAT na razini operatera ispred njega može dijeliti jednu javnu adresu među tisućama pretplatnika koristeći raspone portova. RFC 6269 opisuje taj model dijeljenja adresa, a praktična posljedica je da izvorna adresa plus vremenska oznaka mogu identificirati pretplatnika samo ako operater još čuva mapiranje za taj trenutak.

Zapisujte ono što možete dokazati. To znači vremensku oznaku u UTC-u s naznačenom izvornom zonom, izvornu adresu, izvorni port, protokol i identifikator zahtjeva, te je li radnja došla s autentificiranog računa ili anonimnog zahtjeva. Sačuvajte sirovi zapis, pa napravite redigiranu kopiju za primatelja. Snimka zaslona loša je zamjena za izvorni redak u zapisniku.

Rokovi čuvanja su kratki i razlikuju se po operateru. Što prije pitate, veća je vjerojatnost da mapiranje još postoji, i to je glavni argument za brzu prijavu čak i kada ste problem već ublažili.

Odaberite kanal koji zaista može djelovati

Postoje tri kanala i nisu zamjenjivi. Služba za zloupotrebe operatera izlaza može istražiti vlastitog korisnika i može suspendirati račun. Registarski kontakt za raspon adresa može vas uputiti na pravog operatera kada je whois zapis zastario ili pripada preprodavaču. Tijela za provedbu zakona bave se sumnjom na kazneno djelo, prijetnjama i ozbiljnim kompromitiranjem, i samo taj kanal može prisiliti na otkrivanje u većini jurisdikcija.

Kanal biraju dva uvjeta. Je li incident u tijeku, što govori za ublažavanje prvo i prijavu paralelno, ili je povijesni, što govori za čuvanje dokaza prije svega? Treba li vam da promet stane, na što svaki od tri kanala može utjecati, ili vam treba identitet, što samo pravni put može dati? Treći uvjet odlučuje koliko detalja poslati: operater koji vodi izlaz treba tehničke pojedinosti, dok registarskom kontaktu treba samo raspon adresa i problem.

Kada je incident kazneno djelo u tijeku, služba za zloupotrebe i vlasti nisu alternative. Prijavite objema i obavijestite operatera da pravni zahtjev može uslijediti, kako bi se aktivirala njegova politika čuvanja.

Napišite prijavu po kojoj primatelj može djelovati

Neka poruka bude dovoljno kratka da se pročita u minuti. Jedan odlomak kaže što se dogodilo i kada, jedan blok navodi dokaze s točnim vremenskim oznakama, jedan redak kaže što ste već učinili, a jedan redak kaže što tražite. Zahtjev za brojem predmeta stavite na kraj kako bi zauzeti analitičar mogao odgovoriti brojem umjesto razgovorom.

Uklonite tajne iz kopije koju šaljete. Lozinke, sesijski tokeni, nepovezani osobni podaci i interna imena hostova ne pomažu primatelju i povećavaju vašu izloženost. Čuvajte neredigirani izvornik na mjestu s ograničenim pristupom i zabilježenim hashom ako incident može postati pravni dokaz. Naredbe u nastavku prikupljaju javne činjenice o adresi prije nego što išta napišete.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Zamijenite adresu koju ste stvarno primijetili i imajte na umu da dokumentacijski raspon poput gornjeg neće vratiti živ zapis. Ako whois izlaz navede hosting providera umjesto VPN brenda, taj provider je ispravan primatelj, jer drži dodjelu adrese i odnos s korisnikom.

Obradite odgovor i sačuvajte zapis

Tišina ne znači da se ništa nije dogodilo. Operateri rutinski djeluju na prijavu ne govoreći to podnositelju, jer ne mogu otkriti podatke o korisniku i jer njihova politika to može zabranjivati. Kratka potvrda s brojem predmeta najviše je što treba očekivati, a zahtjev za više tehničkih detalja dobar je znak, a ne odgoda.

Ne objavljujte optužbu protiv adrese ili providera dok je prijava otvorena. Nazvati zajednički izlaz krivcem kažnjava svakog drugog korisnika tog izlaza i može naškoditi slučaju ako kasnije dođe do pravnog postupka. NIST smjernice za odgovor na incidente tretiraju podrijetlo i povjerljivost zapisa o incidentu kao dio odgovora, a ne kao papirologiju poslije njega.

Zatvorite petlju u vlastitim zapisima: što ste poslali, kome, kada i što se time promijenilo. Ta povijest pretvara sljedeći incident iz zbrke u postupak s poznatim prvim korakom.