วิธีรายงานการใช้งานในทางที่ผิดที่มาจากทางออก VPN
รายงานการละเมิดที่มาจากทางออก VPN: แยกการหยุดทราฟฟิกออกจากการระบุตัวบุคคล เลือกช่องทางที่ลงมือได้จริง และส่งหลักฐานอย่างจำกัด
ทราฟฟิกจากทางออก VPN อาจเป็นการใช้งานในทางที่ผิดโดยไม่บอกคุณว่าใครส่งมา และรายงานที่คุณเขียนขึ้นอยู่กับว่าคุณกำลังตอบคำถามข้อใดในสามข้อ การหยุดทราฟฟิกเป็นงานของคุณวันนี้ การเก็บรักษาหลักฐานเป็นขั้นตอน การระบุตัวบุคคลต้องใช้กระบวนการทางกฎหมายที่คุณอาจไม่มี รายงานล้มเหลวเมื่อทั้งสามอย่างถูกผสมลงในข้อร้องเรียนเดียว เพราะผู้รับทำได้เพียงส่วนที่เป็นของตน
แยกคำถามสามข้อก่อน
เริ่มจากการตัดสินใจว่าคุณต้องการผลลัพธ์แบบใด หากเป้าหมายคือหยุดคำขอ วันนี้คุณสามารถบล็อกช่วงที่อยู่ จำกัดอัตราบัญชี หรือทำให้จุดปลายเข้มงวดขึ้น และรายงานการละเมิดเป็นเรื่องรอง หากเป้าหมายคือบันทึกที่ทนต่อการตรวจสอบ คุณต้องมีตราเวลา ตัวระบุคำขอ และต้นฉบับที่ไม่ได้แก้ไขซึ่งเก็บไว้ในที่ปลอดภัย หากเป้าหมายคือชื่อที่อยู่เบื้องหลังที่อยู่ คุณต้องมีกระบวนการทางกฎหมายของผู้ให้บริการหรือคำสั่งศาล และไม่มีข้อร้องเรียนส่วนตัวใดทดแทนได้
การผสมทั้งสามเข้าด้วยกันทำให้เกิดรายงานที่ใช้ไม่ได้แบบคลาสสิก คือย่อหน้าที่เต็มไปด้วยอารมณ์ ไม่มีเขตเวลา เรียกร้องข้อมูลผู้ใช้บริการ และไม่มีข้อบ่งชี้ว่าผู้รับจะทำอะไรได้แม้อยากช่วย รายงานนั้นถูกปิดโดยไม่มีการดำเนินการ และผู้ส่งสรุปว่าแผนกจัดการการละเมิดไม่ทำอะไรเลย ผู้รับไม่มีอะไรให้ดำเนินการ
เขียนคำตอบทั้งสามข้อก่อนเปิดอีเมล เพราะคำตอบเหล่านั้นกำหนดน้ำเสียง ความยาว และคำขอ
ที่อยู่ทางออกพิสูจน์อะไรและไม่พิสูจน์อะไร
ที่อยู่ที่เกี่ยวข้องกับ VPN บอกคุณว่าทราฟฟิกเข้าสู่อินเทอร์เน็ตจากที่ใด ไม่ได้บอกว่าใครเป็นผู้เริ่ม ทางออกเชิงพาณิชย์ถูกแบ่งปันโดยลูกค้าจำนวนมากในเวลาเดียวกัน และ NAT ระดับผู้ให้บริการที่อยู่ด้านหน้าอาจแบ่งที่อยู่สาธารณะหนึ่งรายการให้ผู้ใช้บริการหลายพันรายโดยใช้ช่วงพอร์ต RFC 6269 อธิบายรูปแบบการแบ่งปันที่อยู่ดังกล่าว และผลในทางปฏิบัติคือที่อยู่ต้นทางพร้อมตราเวลาระบุตัวผู้ใช้บริการได้ก็ต่อเมื่อผู้ให้บริการยังเก็บการแมปสำหรับช่วงเวลานั้น
บันทึกสิ่งที่คุณพิสูจน์ได้ นั่นหมายถึงตราเวลาใน UTC พร้อมเขตเวลาต้นฉบับ ที่อยู่ต้นทาง พอร์ตต้นทาง โพรโทคอล และตัวระบุคำขอ และระบุว่าการกระทำมาจากบัญชีที่ยืนยันตัวตนหรือคำขอที่ไม่ระบุตัวตน เก็บบันทึกดิบไว้ แล้วจัดทำสำเนาที่แก้ไขสำหรับผู้รับ ภาพหน้าจอเป็นสิ่งทดแทนที่ไม่ดีสำหรับบรรทัดต้นฉบับในบันทึก
ระยะเวลาการเก็บรักษาสั้นและแตกต่างกันตามผู้ให้บริการ ยิ่งคุณถามเร็วเท่าไร โอกาสที่การแมปยังมีอยู่ก็ยิ่งสูงขึ้น และนั่นคือเหตุผลหลักในการรายงานอย่างรวดเร็วแม้คุณจะลดผลกระทบไปแล้ว
เลือกช่องทางที่ลงมือได้จริง
มีสามช่องทางและใช้แทนกันไม่ได้ แผนกจัดการการละเมิดของผู้ให้บริการทางออกสามารถตรวจสอบลูกค้าของตนและอาจระงับบัญชีได้ ผู้ติดต่อทะเบียนสำหรับช่วงที่อยู่สามารถชี้ไปยังผู้ให้บริการที่ถูกต้องเมื่อบันทึก whois ล้าสมัยหรือเป็นของผู้ขายต่อ หน่วยบังคับใช้กฎหมายดูแลอาชญากรรมที่สงสัย การข่มขู่ และการถูกเจาะระบบอย่างรุนแรง และมีเพียงช่องทางนั้นที่บังคับให้เปิดเผยได้ในเขตอำนาจส่วนใหญ่
| Channel | What it can do | What it cannot do |
|---|---|---|
| Exit operator abuse desk | Investigate, warn or suspend the account | Disclose a subscriber to a private complainant |
| Registry contact | Identify the network holder and its abuse address | Act on the incident itself |
| Law enforcement | Preserve and compel records under legal process | Move faster than your own mitigation |
เงื่อนไขสองข้อเป็นตัวเลือกช่องทาง เหตุการณ์ยังดำเนินอยู่หรือไม่ ซึ่งสนับสนุนการลดผลกระทบก่อนและรายงานควบคู่กัน หรือเป็นเหตุการณ์ในอดีต ซึ่งสนับสนุนการเก็บรักษาหลักฐานก่อนสิ่งอื่นใด คุณต้องการให้ทราฟฟิกหยุด ซึ่งทั้งสามช่องทางมีอิทธิพลได้ หรือต้องการตัวตน ซึ่งมีเพียงเส้นทางกฎหมายเท่านั้นที่ให้ได้ เงื่อนไขที่สามกำหนดว่าจะส่งรายละเอียดมากน้อยเพียงใด ผู้ให้บริการที่ดำเนินการทางออกต้องการข้อมูลทางเทคนิค ขณะที่ผู้ติดต่อทะเบียนต้องการเพียงช่วงที่อยู่และปัญหา
เมื่อเหตุการณ์เป็นอาชญากรรมที่กำลังเกิดขึ้น แผนกจัดการการละเมิดและหน่วยงานราชการไม่ใช่ทางเลือกแทนกัน ให้รายงานทั้งสองทาง และแจ้งผู้ให้บริการว่าอาจมีคำขอทางกฎหมายตามมา เพื่อให้นโยบายการเก็บรักษาของตนถูกกระตุ้น
เขียนรายงานที่ผู้รับลงมือได้
ทำให้ข้อความสั้นพอที่จะอ่านได้ในหนึ่งนาที หนึ่งย่อหน้าบอกว่าเกิดอะไรขึ้นและเมื่อใด หนึ่งบล็อกแสดงหลักฐานพร้อมตราเวลาที่แม่นยำ หนึ่งบรรทัดบอกว่าคุณทำอะไรไปแล้ว และอีกหนึ่งบรรทัดบอกว่าคุณขออะไร ใส่คำขอหมายเลขอ้างอิงคดีไว้ท้ายสุด เพื่อให้นักวิเคราะห์ที่ยุ่งอยู่ตอบกลับด้วยหมายเลขแทนการสนทนา
นำความลับออกจากสำเนาที่คุณส่ง รหัสผ่าน โทเคนเซสชัน ข้อมูลส่วนบุคคลที่ไม่เกี่ยวข้อง และชื่อโฮสต์ภายในไม่ช่วยผู้รับและเพิ่มความเสี่ยงของคุณเอง เก็บต้นฉบับที่ไม่ได้แก้ไขไว้ในที่ที่มีการเข้าถึงจำกัดพร้อมแฮชที่บันทึกไว้ หากเหตุการณ์อาจกลายเป็นหลักฐานทางกฎหมาย คำสั่งด้านล่างรวบรวมข้อเท็จจริงสาธารณะเกี่ยวกับที่อยู่ก่อนที่คุณจะเขียนสิ่งใด
whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20แทนที่ด้วยที่อยู่ที่คุณสังเกตเห็นจริง และโปรดทราบว่าช่วงเอกสารเช่นข้างต้นจะไม่คืนบันทึกที่มีอยู่จริง หากผลลัพธ์ของ whois ระบุผู้ให้บริการโฮสติ้งแทนแบรนด์ VPN ผู้ให้บริการรายนั้นคือผู้รับที่ถูกต้อง เพราะเป็นผู้ถือการจัดสรรที่อยู่และความสัมพันธ์กับลูกค้า
จัดการการตอบกลับและเก็บบันทึกไว้
ความเงียบไม่ได้หมายความว่าไม่มีอะไรเกิดขึ้น ผู้ให้บริการดำเนินการกับรายงานเป็นประจำโดยไม่แจ้งผู้รายงาน ทั้งเพราะไม่สามารถเปิดเผยข้อมูลลูกค้าและเพราะนโยบายของตนอาจห้าม การตอบรับสั้น ๆ พร้อมหมายเลขคดีคือสิ่งสูงสุดที่คุณควรคาดหวัง และการขอรายละเอียดทางเทคนิคเพิ่มเติมเป็นสัญญาณที่ดี ไม่ใช่ความล่าช้า
อย่าเผยแพร่ข้อกล่าวหาต่อที่อยู่หรือผู้ให้บริการในขณะที่รายงานยังเปิดอยู่ การระบุทางออกร่วมว่าเป็นผู้กระทำผิดลงโทษลูกค้ารายอื่นทั้งหมดของทางออกนั้น และอาจทำให้คดีเสียหายหากต่อมาถึงกระบวนการทางกฎหมาย แนวทางตอบสนองเหตุการณ์ของ NIST มองว่าแหล่งที่มาและความเป็นความลับของบันทึกเหตุการณ์เป็นส่วนหนึ่งของการตอบสนอง ไม่ใช่เอกสารที่ทำทีหลัง
ปิดวงจรในบันทึกของคุณเอง สิ่งที่ส่ง ถึงใคร เมื่อใด และอะไรเปลี่ยนไปเพราะสิ่งนั้น ประวัติเช่นนี้เองที่เปลี่ยนเหตุการณ์ครั้งถัดไปจากการตั้งตัวไม่ทันให้เป็นขั้นตอนที่มีก้าวแรกที่รู้จัก