Kako prijaviti zlorabo, ki prihaja z izhoda VPN

Promet z izhoda VPN je lahko zloraba, ne da bi vam povedal, kdo ga je poslal, in prijava, ki jo pišete, je odvisna od tega, na katero od treh vprašanj odgovarjate. Ustavitev prometa je danes vaša naloga. Ohranjanje dokazov je postopek. Identifikacija osebe zahteva pravni postopek, ki ga verjetno nimate. Prijave spodletijo, ko se ti trije zmešajo v eno pritožbo, ker lahko prejemnik ukrepa le v delu, ki je njegov.

Najprej ločite tri vprašanja

Začnite z odločitvijo, kakšen izid želite. Če je cilj ustaviti zahteve, lahko danes blokirate obseg naslovov, omejite račun ali zaostrite končno točko, prijava zlorabe pa je drugotnega pomena. Če je cilj zapis, ki zdrži pregled, potrebujete časovne žige, identifikatorje zahtev in neurejen izvirnik, shranjen na varnem mestu. Če je cilj ime za naslovom, potrebujete pravni postopek operaterja ali sodno odredbo, in nobena zasebna pritožba tega ne nadomesti.

Njihovo mešanje ustvari klasično neuporabno prijavo: jezen odstavek, brez časovnega pasu, zahteva po podatkih naročnika in nobena navedba, kaj bi prejemnik lahko storil, tudi če bi hotel pomagati. Takšna prijava se zapre brez ukrepanja, pošiljatelj pa sklene, da službe za zlorabe ne storijo ničesar. Prejemnik ni imel na čem ukrepati.

Zapišite tri odgovore, preden odprete e-pošto. Ti določajo ton, dolžino in zahtevo.

Kaj dokazuje naslov izhoda in kaj ne

Naslov, povezan z VPN, vam pove, od kod je promet vstopil v internet, ne kdo ga je začel. Komercialni izhod si deli veliko strank hkrati, NAT na ravni operaterja pred njim pa lahko deli en javni naslov med tisoče naročnikov z razponi vrat. RFC 6269 opisuje ta model deljenja naslovov, praktična posledica pa je, da lahko izvorni naslov in časovni žig naročnika identificirata le, če operater še vedno hrani preslikavo za tisti trenutek.

Zapišite, kar lahko dokažete. To pomeni časovni žig v UTC z zabeleženim izvirnim območjem, izvorni naslov, izvorna vrata, protokol in identifikator zahteve ter ali je dejanje prišlo z overjenega računa ali iz anonimne zahteve. Shranite surov zapis, nato pripravite urejeno kopijo za prejemnika. Posnetek zaslona je slaba zamenjava za izvirno vrstico v dnevniku.

Obdobja hrambe so kratka in se razlikujejo glede na operaterja. Prej ko vprašate, večja je verjetnost, da preslikava še obstaja, in to je glavni argument za hitro prijavo, tudi ko ste težavo že ublažili.

Izberite kanal, ki lahko resnično ukrepa

Obstajajo trije kanali in niso zamenljivi. Služba za zlorabe operaterja izhoda lahko preišče svojo stranko in lahko začasno ustavi račun. Kontakt registra za obseg naslovov vas lahko usmeri na pravega operaterja, ko je zapis whois zastarel ali pripada preprodajalcu. Organi pregona obravnavajo sum kaznivega dejanja, grožnje in resne kršitve, in samo ta kanal lahko v večini jurisdikcij prisili k razkritju.

Kanal izbereta dva pogoja. Ali je dogodek v teku, kar govori za najprej ublažitev in vzporedno prijavo, ali je zgodovinski, kar govori za ohranitev dokazov pred vsem drugim? Ali potrebujete, da se promet ustavi, na kar lahko vplivajo vsi trije, ali potrebujete identiteto, ki jo lahko da samo pravna pot? Tretji pogoj odloči, koliko podrobnosti poslati: operater, ki upravlja izhod, potrebuje tehnične podrobnosti, medtem ko kontakt registra potrebuje le obseg naslovov in težavo.

Ko je dogodek kaznivo dejanje v teku, služba za zlorabe in oblasti niso alternative. Prijavite obema in obvestite operaterja, da lahko sledi pravna zahteva, da se aktivira njegova lastna politika hrambe.

Napišite prijavo, na katero lahko prejemnik ukrepa

Naj bo sporočilo dovolj kratko, da ga preberete v minuti. En odstavek pove, kaj se je zgodilo in kdaj, en blok navaja dokaze z natančnimi časovnimi žigi, ena vrstica pove, kaj ste že storili, in ena vrstica, kaj zahtevate. Zahtevo za referenčno številko primera postavite na konec, da lahko zaposlen analitik odgovori s številko namesto s pogovorom.

Odstranite skrivnosti iz kopije, ki jo pošiljate. Gesla, žetoni seje, nepovezani osebni podatki in imena notranjih gostiteljev prejemniku ne pomagajo in povečujejo vašo izpostavljenost. Neurejen izvirnik hranite na mestu z omejenim dostopom in zabeleženim zgoščevalnim nizom, če lahko dogodek postane pravni dokaz. Spodnji ukazi zberejo javna dejstva o naslovu, preden kar koli napišete.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Zamenjajte naslov, ki ste ga dejansko opazili, in upoštevajte, da dokumentacijski obseg, kot je zgornji, ne vrne živega zapisa. Če izpis whois navaja ponudnika gostovanja namesto blagovne znamke VPN, je ta ponudnik pravi prejemnik, ker ima dodelitev naslova in odnos s stranko.

Obravnavajte odgovor in hranite zapis

Tišina ne pomeni, da se ni nič zgodilo. Operaterji redno ukrepajo na podlagi prijave, ne da bi o tem obvestili prijavitelja, tako ker ne smejo razkriti podatkov o stranki kot ker jim to njihova politika lahko prepoveduje. Kratka potrditev s številko primera je največ, kar lahko pričakujete, in zahteva po več tehničnih podrobnostih je dober znak, ne zamuda.

Ne objavljajte obtožbe proti naslovu ali ponudniku, dokler je prijava odprta. Označiti skupni izhod za krivca kaznuje vsako drugo stranko tega izhoda in lahko škoduje primeru, če pozneje pride do pravnega postopka. Smernice NIST za odzivanje na incidente obravnavajo izvor in zaupnost zapisov o incidentu kot del odziva, ne kot papirologijo po njem.

Zaprite zanko v svojih zapisih: kaj ste poslali, komu, kdaj in kaj se je zaradi tega spremenilo. Prav ta zgodovina spremeni naslednji dogodek iz zmede v postopek z znanim prvim korakom.