Paano iulat ang abusive na trapiko mula sa isang labasan ng VPN

Ang trapiko mula sa isang labasan ng VPN ay maaaring pang-aabuso nang hindi sinasabi kung sino ang nagpadala nito, at ang ulat na isinusulat mo ay nakasalalay sa kung alin sa tatlong tanong ang sinasagot mo. Ang paghinto ng trapiko ay trabaho mo ngayon. Ang pag-iingat ng ebidensya ay isang pamamaraan. Ang pagkilala sa isang tao ay nangangailangan ng legal na proseso na malamang wala ka. Nabibigo ang mga ulat kapag pinagsama ang tatlong iyon sa isang reklamo, dahil ang tatanggap ay makakagalaw lamang sa bahaging pag-aari niya.

Paghiwalayin muna ang tatlong tanong

Magsimula sa pagpapasya kung anong resulta ang gusto mo. Kung ang layunin ay ihinto ang mga kahilingan, ngayon ay maaari mong harangan ang hanay ng address, limitahan ang account o patigasin ang endpoint, at ang ulat ng pang-aabuso ay pangalawa. Kung ang layunin ay isang talaan na makakayanan ang pagsusuri, kailangan mo ng mga timestamp, identifier ng kahilingan at isang hindi na-edit na orihinal na itinatago sa ligtas na lugar. Kung ang layunin ay isang pangalan sa likod ng address, kailangan mo ng legal na proseso ng operator o utos ng hukuman, at walang pribadong reklamo ang pumapalit doon.

Ang pagsasama ng mga ito ay lumilikha ng klasikong walang silbing ulat: galit na talata, walang time zone, demand para sa detalye ng subscriber at walang palatandaan kung ano ang magagawa ng tatanggap kahit gustuhin nitong tumulong. Isinasara ang ulat na iyon nang walang aksyon, at ang nagpadala ay naghihinuha na walang ginagawa ang mga desk ng pang-aabuso. Walang anumang maaaring galawan ang tatanggap.

Isulat ang tatlong sagot bago buksan ang email. Sila ang nagtatakda ng tono, haba at kahilingan.

Ano ang pinatutunayan ng address ng labasan at ano ang hindi

Ang isang address na nauugnay sa VPN ay nagsasabi kung saan pumasok ang trapiko sa internet, hindi kung sino ang nagpasimula nito. Ang isang komersyal na labasan ay ibinabahagi ng maraming kliyente nang sabay, at ang carrier-grade NAT sa harap nito ay maaaring magbahagi ng isang pampublikong address sa libu-libong subscriber gamit ang mga hanay ng port. Inilalarawan ng RFC 6269 ang modelong iyon ng pagbabahagi ng address, at ang praktikal na bunga ay ang source address at timestamp ay makakakilala lamang ng subscriber kung hawak pa ng operator ang mapping para sa sandaling iyon.

Itala ang kaya mong patunayan. Ibig sabihin, ang timestamp sa UTC na may nakatalang orihinal na zone, ang source address, source port, protocol at identifier ng kahilingan, at kung ang aksyon ay nagmula sa isang authenticated na account o sa isang anonymous na kahilingan. Itago ang raw na talaan, pagkatapos ay gumawa ng na-edit na kopya para sa tatanggap. Ang screenshot ay mahinang kapalit ng orihinal na linya sa log.

Maikli ang mga panahon ng pagpapanatili at nagkakaiba ayon sa operator. Kapag mas maaga kang nagtanong, mas malaki ang tsansang umiiral pa ang mapping, at iyon ang pangunahing dahilan para mabilis na mag-ulat kahit na nabawasan mo na ang problema.

Piliin ang channel na talagang makakagalaw

May tatlong channel at hindi sila mapagpapalit. Ang desk ng pang-aabuso ng operator ng labasan ay maaaring mag-imbestiga sa sarili nitong kliyente at maaaring suspindihin ang account. Ang contact ng registry para sa hanay ng address ay maaaring magturo sa tamang operator kapag lipas na ang talaan ng whois o pag-aari ng isang reseller. Ang pagpapatupad ng batas ay humahawak sa pinaghihinalaang krimen, mga banta at malubhang kompromiso, at tanging ang channel na iyon ang makapipilit ng paghahayag sa karamihan ng hurisdiksyon.

Dalawang kondisyon ang pumipili ng channel. Nagpapatuloy ba ang insidente, na nagsusulong ng pagpapagaan muna at ulat nang sabay, o historikal ito, na nagsusulong ng pag-iingat ng ebidensya bago ang lahat? Kailangan mo bang huminto ang trapiko, na kayang impluwensyahan ng tatlo, o kailangan mo ng pagkakakilanlan, na tanging legal na landas ang makapagbibigay? Ang ikatlong kondisyon ang nagpapasya kung gaano karaming detalye ang ipapadala: ang operator na nagpapatakbo ng labasan ay nangangailangan ng teknikal na detalye, samantalang ang contact ng registry ay nangangailangan lamang ng hanay ng address at ng problema.

Kapag ang insidente ay isang krimeng nagaganap, ang desk ng pang-aabuso at ang mga awtoridad ay hindi alternatibo. Iulat sa pareho, at ipaalam sa operator na maaaring sumunod ang isang legal na kahilingan upang ma-activate ang sarili nitong patakaran sa pagpapanatili.

Isulat ang ulat na maaaring galawan ng tatanggap

Panatilihing sapat na maikli ang mensahe upang mabasa sa isang minuto. Isang talata ang nagsasabi kung ano ang nangyari at kailan, isang bloke ang naglilista ng ebidensya na may eksaktong timestamp, isang linya ang nagsasabi ng nagawa mo na at isang linya ang nagsasabi ng hinihiling mo. Ilagay sa dulo ang kahilingan para sa case reference number upang ang abalang analista ay makasagot gamit ang numero kaysa sa isang usapan.

Alisin ang mga lihim sa kopyang ipinapadala mo. Ang mga password, session token, walang kaugnayang personal na datos at panloob na hostname ay hindi tumutulong sa tatanggap at nagpapataas ng sarili mong pagkakalantad. Itago ang hindi na-edit na orihinal sa lugar na may limitadong access at naitalang hash kung ang insidente ay maaaring maging legal na ebidensya. Kinokolekta ng mga utos sa ibaba ang pampublikong katotohanan tungkol sa isang address bago ka magsulat ng kahit ano.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Palitan ang address na talagang naobserbahan mo, at tandaan na ang hanay ng dokumentasyon na tulad ng nasa itaas ay hindi magbabalik ng live na talaan. Kung ang output ng whois ay nagngangalan ng hosting provider kaysa sa tatak ng VPN, ang provider na iyon ang tamang tatanggap, dahil hawak nito ang alokasyon ng address at ang relasyon sa kliyente.

Pangasiwaan ang sagot at itago ang talaan

Ang katahimikan ay hindi ibig sabihin na walang nangyari. Regular na kumikilos ang mga operator sa isang ulat nang hindi sinasabi ito sa nag-ulat, kapwa dahil hindi nila maaaring ihayag ang impormasyon ng kliyente at dahil maaaring ipagbawal ito ng kanilang patakaran. Ang maikling pagkilala na may case number ang pinakamataas na dapat mong asahan, at ang kahilingan para sa mas maraming teknikal na detalye ay magandang senyales, hindi pagkaantala.

Huwag maglathala ng paratang laban sa isang address o provider habang bukas ang isang ulat. Ang pagtukoy sa isang pinagsasaluhang labasan bilang salarin ay pinaparusahan ang bawat iba pang kliyente ng labasang iyon at maaaring makasira sa kaso kung kalaunan ay umabot ito sa legal na proseso. Itinuturing ng gabay ng NIST sa pagtugon sa insidente ang pinagmulan at pagiging kompidensyal ng mga talaan ng insidente bilang bahagi ng pagtugon, hindi bilang papeles pagkatapos nito.

Isara ang loop sa iyong sariling mga talaan: ano ang ipinadala, kanino, kailan, at ano ang nabago dahil doon. Ang kasaysayang iyon ang nagpapalit ng susunod na insidente mula sa gulo tungo sa isang pamamaraang may alam na unang hakbang.