Så här rapporterar du missbrukstrafik från en VPN-utgång

Trafik från en VPN-utgång kan vara missbruk utan att berätta vem som skickade den, och rapporten du skriver beror på vilken av tre frågor du besvarar. Att stoppa trafiken är ditt eget arbete i dag. Att bevara bevisen är en procedur. Att identifiera en person kräver en rättslig process som du förmodligen inte har. Rapporter misslyckas när de tre blandas i ett enda klagomål, eftersom mottagaren bara kan agera på den del som är hans.

Skilj först de tre frågorna

Börja med att bestämma vilket resultat du vill ha. Om målet är att stoppa förfrågningarna kan du i dag blockera adressintervallet, begränsa kontot eller skärpa slutpunkten, och missbruksrapporten är sekundär. Om målet är en registrering som tål granskning behöver du tidsstämplar, förfrågnings-ID:n och en oredigerad originalhandling på en säker plats. Om målet är ett namn bakom adressen behöver du operatörens rättsliga process eller ett domstolsbeslut, och ingen privat anmälan ersätter det.

Blandar man dem får man den klassiska oanvändbara rapporten: ett argt stycke, ingen tidszon, ett krav på abonnentuppgifter och ingen antydan om vad mottagaren skulle kunna göra även om den ville hjälpa. Den rapporten stängs utan åtgärd, och avsändaren drar slutsatsen att missbruksavdelningarna inte gör något. Mottagaren hade inget att agera på.

Skriv ner de tre svaren innan du öppnar e-postmeddelandet. De sätter tonen, längden och begäran.

Vad utgångsadressen bevisar och vad den inte bevisar

En adress som är kopplad till en VPN säger var trafiken kom in på internet, inte vem som startade den. En kommersiell utgång delas av många kunder samtidigt, och en carrier-grade NAT framför den kan dela en offentlig adress mellan tusentals abonnenter med hjälp av portintervall. RFC 6269 beskriver den adressdelningsmodellen, och den praktiska konsekvensen är att källadressen plus en tidsstämpel bara kan identifiera en abonnent om operatören fortfarande har mappningen för det ögonblicket.

Registrera det du kan bevisa. Det betyder tidsstämpeln i UTC med den ursprungliga zonen antecknad, källadressen, källporten, protokollet och förfrågnings-ID:t, och om åtgärden kom från ett autentiserat konto eller en anonym förfrågan. Spara den råa registreringen och gör sedan en redigerad kopia till mottagaren. En skärmbild är en dålig ersättning för den ursprungliga raden i loggen.

Lagringstiderna är korta och varierar mellan operatörer. Ju tidigare du frågar, desto större är chansen att mappningen finns kvar, och det är huvudargumentet för att rapportera snabbt även när du redan har mildrat problemet.

Välj den kanal som faktiskt kan agera

Det finns tre kanaler och de är inte utbytbara. Utgångsoperatörens missbruksavdelning kan utreda sin egen kund och kan stänga av kontot. Registerkontakten för adressintervallet kan peka ut rätt operatör när whois-posten är inaktuell eller tillhör en återförsäljare. Brottsbekämpande myndigheter hanterar misstänkt brottslighet, hot och allvarliga intrång, och bara den kanalen kan tvinga fram utlämnande i de flesta jurisdiktioner.

Två förhållanden väljer kanalen. Är incidenten pågående, vilket talar för att mildra först och rapportera parallellt, eller historisk, vilket talar för att bevara bevisen före allt annat? Behöver du att trafiken stoppas, vilket alla tre kan påverka, eller behöver du en identitet, som bara den rättsliga vägen kan ge? Ett tredje förhållande avgör hur mycket detaljer du skickar: en operatör som driver utgången behöver tekniska detaljer, medan en registerkontakt bara behöver adressintervallet och problemet.

När incidenten är ett brott under utförande är missbruksavdelningen och myndigheterna inte alternativ. Rapportera till båda, och låt operatören veta att en rättslig begäran kan följa, så att dess egen lagringspolicy utlöses.

Skriv rapporten som mottagaren kan agera på

Håll meddelandet kort nog att läsas på en minut. Ett stycke säger vad som hände och när, ett block listar bevisen med exakta tidsstämplar, en rad säger vad du redan har gjort och en rad säger vad du begär. Sätt begäran om ett ärendenummer sist, så att en upptagen analytiker kan svara med ett nummer i stället för en konversation.

Ta bort hemligheter från kopian du skickar. Lösenord, sessionstoken, orelaterade personuppgifter och interna värdnamn hjälper inte mottagaren och ökar din egen exponering. Förvara den oredigerade originalhandlingen på en plats med begränsad åtkomst och en registrerad hash om incidenten kan bli rättsligt bevis. Kommandona nedan samlar de offentliga fakta om en adress innan du skriver något.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Ersätt adressen du faktiskt observerade, och notera att ett dokumentationsintervall som det ovan inte returnerar en levande post. Om whois-utdata namnger en webbhotellsleverantör i stället för VPN-varumärket är den leverantören rätt mottagare, eftersom den har adresstilldelningen och kundrelationen.

Hantera svaret och behåll registreringen

Tystnad betyder inte att ingenting hände. Operatörer agerar rutinmässigt på en rapport utan att berätta det för anmälaren, både för att de inte får lämna ut kunduppgifter och för att deras policy kan förbjuda det. En kort bekräftelse med ett ärendenummer är det mesta du bör förvänta dig, och en begäran om fler tekniska detaljer är ett gott tecken, inte en försening.

Publicera inte en anklagelse mot en adress eller en leverantör medan en rapport är öppen. Att peka ut en delad utgång som skyldig straffar alla andra kunder på den utgången och kan skada ärendet om det senare når en rättslig process. NIST:s vägledning för incidenthantering behandlar härkomst och konfidentialitet för incidentregistreringar som en del av hanteringen, inte som pappersarbete efteråt.

Slut cirkeln i dina egna registreringar: vad du skickade, till vem, när och vad som förändrades till följd av det. Den historiken är det som gör nästa incident från ett kaos till en procedur med ett känt första steg.