Si të raportoni trafikun abuziv që vjen nga një dalje VPN

Trafiku nga një dalje VPN mund të jetë abuziv pa ju thënë se kush e dërgoi, dhe raporti që shkruani varet nga cila nga tri pyetjet po përgjigjeni. Ndalimi i trafikut është puna juaj sot. Ruajtja e provave është një procedurë. Identifikimi i një personi kërkon një proces ligjor që ndoshta nuk e keni. Raportet dështojnë kur këto të tre përzihen në një ankesë të vetme, sepse marrësi mund të veprojë vetëm në pjesën që zotëron.

Fillimisht ndani tri pyetjet

Filloni duke vendosur çfarë rezultati dëshironi. Nëse qëllimi është ndalimi i kërkesave, sot mund të bllokoni gamën e adresave, të kufizoni llogarinë ose të shtrëngoni pikën fundore, dhe raporti i abuzimit është dytësor. Nëse qëllimi është një regjistrim që i reziston një kontrolli, ju nevojiten vulat kohore, identifikuesit e kërkesave dhe një origjinal i paedituar i ruajtur në një vend të sigurt. Nëse qëllimi është një emër pas adresës, ju nevojitet procesi ligjor i operatorit ose një urdhër gjyqësor, dhe asnjë ankesë private nuk e zëvendëson atë.

Përzierja e tyre prodhon raportin klasik të papërdorshëm: një paragraf i zemëruar, asnjë zonë kohore, një kërkesë për të dhënat e abonentit dhe asnjë tregues se çfarë mund të bënte marrësi edhe sikur të donte të ndihmonte. Ai raport mbyllet pa veprim, dhe dërguesi arrin në përfundimin se tavolinat e abuzimit nuk bëjnë asgjë. Marrësi nuk kishte asgjë mbi të cilën të vepronte.

Shkruani tri përgjigjet përpara se të hapni emailin. Ato përcaktojnë tonin, gjatësinë dhe kërkesën.

Çfarë provon adresa e daljes dhe çfarë jo

Një adresë e lidhur me VPN ju tregon nga erdhi trafiku në internet, jo kush e filloi atë. Një dalje komerciale ndahet nga shumë klientë njëkohësisht, dhe një NAT në nivel operatori përpara saj mund të ndajë një adresë publike mes mijëra abonentëve duke përdorur vargje portash. RFC 6269 përshkruan atë model të ndarjes së adresave, dhe pasoja praktike është se adresa e burimit plus një vulë kohore mund të identifikojnë një abonent vetëm nëse operatori ende mban hartëzimin për atë moment.

Regjistroni atë që mund të provoni. Kjo do të thotë vula kohore në UTC me zonën origjinale të shënuar, adresa e burimit, porta e burimit, protokolli dhe identifikuesi i kërkesës, dhe nëse veprimi erdhi nga një llogari e vërtetuar apo nga një kërkesë anonime. Ruani regjistrimin e papërpunuar, më pas përgatitni një kopje të redaktuar për marrësin. Një pamje ekrani është një zëvendësues i dobët për rreshtin origjinal në regjistër.

Afatet e ruajtjes janë të shkurtra dhe ndryshojnë sipas operatorit. Sa më herët të pyesni, aq më e madhe është gjasë që hartëzimi ekziston ende, dhe ky është argumenti kryesor për raportim të shpejtë edhe kur e keni zbutur tashmë problemin.

Zgjidhni kanalin që me të vërtetë mund të veprojë

Ekzistojnë tri kanale dhe ato nuk janë të këmbyeshme. Tavolina e abuzimit e operatorit të daljes mund të hetojë klientin e vet dhe mund të pezullojë llogarinë. Kontakti i regjistrit për gamën e adresave mund t'ju drejtojë te operatori i duhur kur regjistrimi whois është i vjetëruar ose i përket një rishitësi. Agjencitë e zbatimit të ligjit merren me krim të dyshuar, kërcënime dhe komprometime serioze, dhe vetëm ai kanal mund të detyrojë zbulimin në shumicën e juridiksioneve.

Dy kushte zgjedhin kanalin. A është incidenti në vazhdim, gjë që mbështet zbutjen së pari dhe raportimin paralel, apo historik, gjë që mbështet ruajtjen e provave para çdo gjëje? A keni nevojë që trafiku të ndalet, gjë që mund ta ndikojnë të tre, apo keni nevojë për një identitet, të cilin vetëm rruga ligjore mund ta japë? Një kusht i tretë vendos sa detaje të dërgoni: operatori që drejton daljen ka nevojë për hollësi teknike, ndërsa kontakti i regjistrit ka nevojë vetëm për gamën e adresave dhe problemin.

Kur incidenti është një krim në vazhdim, tavolina e abuzimit dhe autoritetet nuk janë alternativa. Raportoni tek të dyja, dhe njoftoni operatorin se mund të pasojë një kërkesë ligjore, në mënyrë që politika e tij e ruajtjes të aktivizohet.

Shkruani raportin mbi të cilin marrësi mund të veprojë

Mbajeni mesazhin mjaftueshëm të shkurtër për t'u lexuar në një minutë. Një paragraf thotë çfarë ndodhi dhe kur, një bllok liston provat me vula kohore të sakta, një rresht thotë çfarë keni bërë tashmë dhe një rresht thotë çfarë kërkoni. Vendosni kërkesën për numrin e referencës së rastit në fund, në mënyrë që një analist i zënë të përgjigjet me një numër në vend të një bisede.

Hiqni sekretet nga kopja që dërgoni. Fjalëkalimet, shenjat e sesionit, të dhënat personale të palidhura dhe emrat e hosteve të brendshme nuk e ndihmojnë marrësin dhe rrisin ekspozimin tuaj. Ruani origjinalin e paedituar në një vend me akses të kufizuar dhe një hash të regjistruar nëse incidenti mund të bëhet provë ligjore. Komandat më poshtë mbledhin faktet publike për një adresë përpara se të shkruani ndonjë gjë.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Zëvendësoni adresën që keni vëzhguar vërtet, dhe vini re se një gamë dokumentacioni si ajo më sipër nuk do të kthejë një regjistrim të gjallë. Nëse dalja e whois përmend një ofrues hostimi në vend të markës VPN, ai ofrues është marrësi i duhur, sepse mban alokimin e adresës dhe marrëdhënien me klientin.

Trajtoni përgjigjen dhe mbani regjistrimin

Heshtja nuk do të thotë se nuk ndodhi asgjë. Operatorët veprojnë rutinistikisht mbi një raport pa ia thënë raportuesit, si për shkak se nuk mund të zbulojnë informacione për klientin ashtu edhe sepse politika e tyre mund ta ndalojë. Një konfirmim i shkurtër me numër rasti është maksimumi që duhet të prisni, dhe një kërkesë për më shumë hollësi teknike është shenjë e mirë, jo vonesë.

Mos publikoni një akuzë kundër një adrese ose ofruesi ndërsa një raport është i hapur. Të quash një dalje të përbashkët si fajtore ndëshkon çdo klient tjetër të asaj daljeje dhe mund të dëmtojë rastin nëse më vonë arrin në një proces ligjor. Udhëzuesi i NIST për reagimin ndaj incidenteve e trajton origjinën dhe konfidencialitetin e regjistrimeve të incidentit si pjesë të reagimit, jo si punë letre pas tij.

Mbyllni qarkun në regjistrimet tuaja: çfarë dërguat, kujt, kur dhe çfarë ndryshoi si rezultat. Është ai historik që e kthen incidentin e radhës nga një rrëmujë në një procedurë me një hap të parë të njohur.