Како пријавити злоупотребу која долази са VPN излаза

Саобраћај са VPN излаза може бити злоупотреба иако вам не каже ко га је послао, а пријава коју пишете зависи од тога на које од три питања одговарате. Заустављање саобраћаја је данас ваш посао. Чување доказа је поступак. Идентификација особе захтева правни поступак који вероватно немате. Пријаве пропадају када се та три помешају у једну жалбу, јер прималац може да делује само на делу који поседује.

Прво раздвојите три питања

Почните одлуком какав исход желите. Ако је циљ да зауставите захтеве, данас можете да блокирате опсег адреса, ограничите рачун или пооштрите крајњу тачку, а пријава злоупотребе је споредна. Ако је циљ запис који издржава проверу, потребни су вам временске ознаке, идентификатори захтева и нередактирани оригинал сачуван на безбедном месту. Ако је циљ име иза адресе, потребан вам је правни поступак оператера или судска наредба, и никаква приватна жалба то не замењује.

Њихово мешање ствара класичну неупотребљиву пријаву: бесан пасус, без временске зоне, захтев за податке о претплатнику и никаква назнака шта би прималац могао да учини чак и да жели да помогне. Таква пријава се затвара без деловања, а пошиљалац закључује да одељења за злоупотребе не раде ништа. Прималац није имао на чему да делује.

Запишите три одговора пре него што отворите е-пошту. Она одређују тон, дужину и захтев.

Шта адреса излаза доказује, а шта не

Адреса повезана са VPN-ом говори вам одакле је саобраћај ушао у интернет, а не ко га је покренуо. Комерцијални излаз деле многи клијенти истовремено, а NAT на нивоу оператера испред њега може да дели једну јавну адресу међу хиљадама претплатника користећи опсеге портова. RFC 6269 описује тај модел дељења адреса, а практична последица је да изворна адреса и временска ознака могу да идентификују претплатника само ако оператер још увек чува мапирање за тај тренутак.

Запишите шта можете да докажете. То значи временску ознаку у UTC са забележеном оригиналном зоном, изворну адресу, изворни порт, протокол и идентификатор захтева, и да ли је радња дошла са аутентификованог рачуна или из анонимног захтева. Сачувајте сирови запис, па направите редиговану копију за примаоца. Снимак екрана је лоша замена за оригинални ред у дневнику.

Рокови чувања су кратки и разликују се по оператеру. Што пре питате, већа је вероватноћа да мапирање још постоји, и то је главни аргумент за брзу пријаву чак и када сте проблем већ ублажили.

Изаберите канал који заиста може да делује

Постоје три канала и нису заменљиви. Одељење за злоупотребе оператера излаза може да истражи сопственог клијента и може да суспендује рачун. Контакт регистра за опсег адреса може да вас упути на правог оператера када је запис whois застарео или припада препродавцу. Органи за спровођење закона баве се сумњом на кривично дело, претњама и озбиљним компромитовањем, и само тај канал може да наложи откривање у већини јурисдикција.

Канал бирају два услова. Да ли је инцидент у току, што говори за прво ублажавање и паралелну пријаву, или је историјски, што говори за чување доказа пре свега? Да ли вам је потребно да саобраћај стане, на шта сва три могу да утичу, или вам је потребан идентитет, који може да да само правни пут? Трећи услов одлучује колико детаља да пошаљете: оператеру који води излаз потребне су техничке појединости, док контакту регистра треба само опсег адреса и проблем.

Када је инцидент кривично дело у току, одељење за злоупотребе и власти нису алтернативе. Пријавите обома и обавестите оператера да може да уследи правни захтев, како би се активирала његова политика чувања.

Напишите пријаву на коју прималац може да делује

Нека порука буде довољно кратка да се прочита за минут. Један пасус каже шта се догодило и када, један блок наводи доказе са тачним временским ознакама, један ред каже шта сте већ урадили, а један ред шта тражите. Захтев за референтним бројем случаја ставите на крај, да би заузети аналитичар могао да одговори бројем уместо разговором.

Уклоните тајне из копије коју шаљете. Лозинке, сесијски токени, неповезани лични подаци и интерна имена домаћина не помажу примаоцу и повећавају вашу изложеност. Чувајте нередактирани оригинал на месту са ограниченим приступом и забележеним хешем ако инцидент може да постане правни доказ. Команде испод прикупљају јавне чињенице о адреси пре него што било шта напишете.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Замените адресу коју сте стварно приметили и имајте на уму да документациони опсег као горњи неће вратити жив запис. Ако whois излаз наведе хостинг провајдера уместо бренда VPN, тај провајдер је исправан прималац, јер држи доделу адресе и однос са клијентом.

Обрадите одговор и сачувајте запис

Тишина не значи да се ништа није догодило. Оператери рутински делују на пријаву не обавештавајући подносиоца, јер не могу да открију податке о клијенту и јер њихова политика то може да забрани. Кратка потврда са бројем случаја је највише што треба очекивати, а захтев за више техничких детаља је добар знак, а не одлагање.

Не објављујте оптужбу против адресе или провајдера док је пријава отворена. Називање заједничког излаза кривцем кажњава сваког другог клијента тог излаза и може да нашкоди случају ако касније дође до правног поступка. Смернице NIST за реаговање на инциденте третирају порекло и поверљивост записа о инциденту као део реаговања, а не као папирологију после њега.

Затворите круг у сопственим записима: шта сте послали, коме, када и шта се тиме променило. Управо та историја претвара следећи инцидент из збрке у поступак са познатим првим кораком.