Ako nahlásiť zneužívanie prichádzajúce z výstupu VPN

Prevádzka z výstupu VPN môže byť zneužívaním bez toho, aby vám povedala, kto ju poslal, a hlásenie, ktoré píšete, závisí od toho, na ktorú z troch otázok odpovedáte. Zastaviť prevádzku je dnes vaša úloha. Zachovanie dôkazov je postup. Identifikácia osoby vyžaduje právny proces, ktorý pravdepodobne nemáte. Hlásenia zlyhávajú, keď sa tieto tri zmiešajú do jednej sťažnosti, pretože príjemca môže konať len v časti, ktorá mu patrí.

Najprv oddeľte tri otázky

Začnite tým, aký výsledok chcete. Ak je cieľom zastaviť požiadavky, dnes môžete zablokovať rozsah adries, obmedziť účet alebo sprísniť koncový bod a hlásenie zneužitia je druhoradé. Ak je cieľom záznam, ktorý obstojí pri kontrole, potrebujete časové značky, identifikátory požiadaviek a needitovaný originál uložený na bezpečnom mieste. Ak je cieľom meno za adresou, potrebujete právny proces prevádzkovateľa alebo súdny príkaz a žiadna súkromná sťažnosť to nenahradí.

Ich zmiešaním vzniká klasické nepoužiteľné hlásenie: nahnevaný odsek, žiadne časové pásmo, požiadavka na údaje o účastníkovi a žiadny náznak toho, čo by príjemca mohol urobiť, aj keby chcel pomôcť. Také hlásenie sa uzavrie bez konania a odosielateľ dospeje k záveru, že abuse desk nič nerobí. Príjemca nemal na čom konať.

Napíšte tri odpovede skôr, než otvoríte e-mail. Určujú tón, dĺžku aj požiadavku.

Čo adresa výstupu dokazuje a čo nie

Adresa spojená s VPN vám hovorí, odkiaľ prevádzka vstúpila do internetu, nie kto ju začal. Komerčný výstup zdieľa veľa klientov súčasne a NAT na úrovni operátora pred ním môže zdieľať jednu verejnú adresu medzi tisíce účastníkov pomocou rozsahov portov. RFC 6269 opisuje tento model zdieľania adries a praktickým dôsledkom je, že zdrojová adresa plus časová značka môžu identifikovať účastníka len vtedy, ak operátor mapovanie pre daný okamih ešte uchováva.

Zaznamenajte, čo môžete preukázať. To znamená časovú značku v UTC s poznamenanou pôvodnou zónou, zdrojovú adresu, zdrojový port, protokol a identifikátor požiadavky a to, či akcia prišla z overeného účtu alebo z anonymnej požiadavky. Uchovajte surový záznam a potom pre príjemcu vytvorte redigovanú kópiu. Snímka obrazovky je zlou náhradou pôvodného riadku v logu.

Doby uchovávania sú krátke a líšia sa podľa operátora. Čím skôr sa spýtate, tým pravdepodobnejšie mapovanie ešte existuje, a to je hlavný argument pre rýchle nahlásenie, aj keď ste problém už zmiernili.

Vyberte kanál, ktorý naozaj môže konať

Existujú tri kanály a nie sú zameniteľné. Abuse desk operátora výstupu môže vyšetriť vlastného klienta a môže pozastaviť účet. Kontakt registra pre rozsah adries vás môže nasmerovať na správneho operátora, keď je záznam whois zastaraný alebo patrí predajcovi. Orgány činné v trestnom konaní riešia podozrenie z trestného činu, hrozby a vážne kompromitácie a len tento kanál môže vo väčšine jurisdikcií vynútiť zverejnenie.

Kanál vyberajú dve podmienky. Je incident prebiehajúci, čo hovorí za najprv zmiernenie a paralelné nahlásenie, alebo historický, čo hovorí za uchovanie dôkazov predovšetkým? Potrebujete, aby prevádzka ustala, čo môže ovplyvniť ktorýkoľvek z troch, alebo potrebujete identitu, ktorú môže dať len právna cesta? Tretia podmienka rozhoduje, koľko detailov poslať: operátor, ktorý výstup prevádzkuje, potrebuje technické podrobnosti, kým kontakt registra potrebuje len rozsah adries a problém.

Keď je incident prebiehajúci trestný čin, abuse desk a úrady nie sú alternatívami. Nahláste obom a dajte operátorovi vedieť, že môže nasledovať právna žiadosť, aby sa aktivovala jeho vlastná politika uchovávania.

Napíšte hlásenie, na ktoré príjemca môže konať

Držte správu tak krátku, aby sa dala prečítať za minútu. Jeden odsek hovorí, čo sa stalo a kedy, jeden blok vymenúva dôkazy s presnými časovými značkami, jeden riadok hovorí, čo ste už urobili, a jeden riadok, o čo žiadate. Žiadosť o referenčné číslo prípadu dajte na koniec, aby zaneprázdnený analytik mohol odpovedať číslom namiesto konverzácie.

Odstráňte z kópie, ktorú posielate, tajomstvá. Heslá, session tokeny, nesúvisiace osobné údaje a interné názvy hostiteľov príjemcovi nepomôžu a zvyšujú vaše vlastné vystavenie. Needitovaný originál uchovávajte na mieste s obmedzeným prístupom a zaznamenaným hashom, ak sa incident môže stať právnym dôkazom. Nižšie uvedené príkazy zhromažďujú verejné fakty o adrese, kým niečo napíšete.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Nahraďte adresu, ktorú ste skutočne pozorovali, a všimnite si, že dokumentačný rozsah ako ten vyššie nevráti živý záznam. Ak výstup whois uvádza poskytovateľa hostingu namiesto značky VPN, správnym príjemcom je tento poskytovateľ, pretože drží pridelenie adresy a vzťah so zákazníkom.

Vyriešte odpoveď a uchovajte záznam

Ticho neznamená, že sa nič nestalo. Operátori bežne konajú na základe hlásenia bez toho, aby o tom informovali oznamovateľa, jednak preto, že nemôžu zverejniť informácie o zákazníkovi, jednak preto, že im to ich politika môže zakazovať. Krátke potvrdenie s číslom prípadu je maximum, ktoré by ste mali očakávať, a žiadosť o ďalšie technické podrobnosti je dobrý znak, nie zdržanie.

Nezverejňujte obvinenie proti adrese alebo poskytovateľovi, kým je hlásenie otvorené. Označiť zdieľaný výstup za vinníka trestá každého ďalšieho zákazníka tohto výstupu a môže poškodiť prípad, ak sa neskôr dostane k právnemu procesu. Pokyny NIST pre reakciu na incidenty považujú pôvod a dôvernosť záznamov o incidente za súčasť reakcie, nie za papierovanie po nej.

Uzavrite slučku vo svojich záznamoch: čo ste poslali, komu, kedy a čo sa tým zmenilo. Práve táto história mení ďalší incident zo zmätku na postup so známym prvým krokom.