VPN çıkışından gelen kötüye kullanım trafiği nasıl bildirilir

Bir VPN çıkışından gelen trafik, kimin gönderdiğini söylemeden de kötüye kullanım olabilir ve yazdığınız bildirim, üç sorudan hangisine yanıt verdiğinize bağlıdır. Trafiği durdurmak bugün sizin işiniz. Kanıtları korumak bir prosedürdür. Bir kişiyi tanımlamak, muhtemelen sahip olmadığınız bir hukuki süreç gerektirir. Bu üçü tek bir şikâyette karıştığında bildirimler başarısız olur, çünkü alıcı yalnızca kendisine ait olan kısım üzerinde işlem yapabilir.

Önce üç soruyu ayırın

Hangi sonucu istediğinize karar vererek başlayın. Amaç istekleri durdurmaksa, bugün adres aralığını engelleyebilir, hesabı sınırlayabilir veya uç noktayı sıkılaştırabilirsiniz ve kötüye kullanım bildirimi ikincildir. Amaç incelemeye dayanacak bir kayıt ise zaman damgalarına, istek tanımlayıcılarına ve güvenli bir yerde saklanan düzenlenmemiş bir asla ihtiyacınız var. Amaç adresin arkasındaki isim ise işletmecinin hukuki sürecine veya mahkeme kararına ihtiyacınız var ve hiçbir özel şikâyet bunun yerini tutmaz.

Bunları karıştırmak, klasik kullanılamaz bildirimi üretir: öfkeli bir paragraf, saat dilimi yok, abone bilgisi talebi ve alıcının yardım etmek istese bile ne yapabileceğine dair hiçbir belirti yok. Böyle bir bildirim işlem yapılmadan kapatılır ve gönderen, kötüye kullanım masalarının hiçbir şey yapmadığı sonucuna varır. Alıcının üzerinde işlem yapacağı bir şey yoktu.

E-postayı açmadan önce üç yanıtı yazın. Tonu, uzunluğu ve talebi onlar belirler.

Çıkış adresinin neyi kanıtladığı ve neyi kanıtlamadığı

Bir VPN ile ilişkili adres, trafiğin internete nereden girdiğini söyler, onu kimin başlattığını değil. Ticari bir çıkış aynı anda birçok müşteri tarafından paylaşılır ve önündeki taşıyıcı düzeyinde NAT, bağlantı noktası aralıklarını kullanarak tek bir genel adresi binlerce abone arasında paylaştırabilir. RFC 6269 bu adres paylaşım modelini açıklar ve pratik sonuç şudur: kaynak adres ve zaman damgası bir aboneyi yalnızca işletmeci o anın eşlemesini hâlâ tutuyorsa tanımlayabilir.

Kanıtlayabildiğinizi kaydedin. Bu, özgün saat dilimi not edilmiş UTC zaman damgası, kaynak adres, kaynak bağlantı noktası, protokol ve istek tanımlayıcısı ile eylemin kimliği doğrulanmış bir hesaptan mı yoksa anonim bir istekten mi geldiği anlamına gelir. Ham kaydı saklayın, ardından alıcı için düzenlenmiş bir kopya hazırlayın. Bir ekran görüntüsü, günlükteki özgün satırın kötü bir yerine geçenidir.

Saklama süreleri kısadır ve işletmeciye göre değişir. Ne kadar erken sorarsanız, eşlemenin hâlâ var olma olasılığı o kadar yüksektir; sorunu zaten hafifletmiş olsanız bile hızlı bildirimde bulunmanın ana gerekçesi budur.

Gerçekten harekete geçebilecek kanalı seçin

Üç kanal vardır ve birbirlerinin yerine geçmezler. Çıkış işletmecisinin kötüye kullanım masası kendi müşterisini inceleyebilir ve hesabı askıya alabilir. Adres aralığının kayıt iletişimi, whois kaydı eskimişse veya bir yeniden satıcıya aitse sizi doğru işletmeciye yönlendirebilir. Kolluk kuvvetleri şüpheli suç, tehdit ve ciddi ihlallerle ilgilenir ve çoğu yargı çevresinde açıklamayı zorunlu kılabilecek tek kanal budur.

Kanalı iki koşul seçer. Olay sürüyor mu, bu önce hafifletmeyi ve paralel bildirimi savunur, yoksa geçmişte mi kalmış, bu her şeyden önce kanıtların korunmasını savunur? Trafiğin durması mı gerekiyor, ki üçü de bunu etkileyebilir, yoksa bir kimlik mi gerekiyor, ki bunu yalnızca hukuki yol verebilir? Üçüncü koşul ne kadar ayrıntı göndereceğinizi belirler: çıkışı işleten işletmeci teknik ayrıntılara ihtiyaç duyar, kayıt iletişimi ise yalnızca adres aralığına ve soruna.

Olay sürmekte olan bir suçsa, kötüye kullanım masası ve yetkililer alternatif değildir. İkisine de bildirin ve işletmeciye hukuki bir talebin gelebileceğini bildirin, böylece kendi saklama politikası devreye girsin.

Alıcının harekete geçebileceği bildirimi yazın

Mesajı bir dakikada okunacak kadar kısa tutun. Bir paragraf ne olduğunu ve ne zaman olduğunu söyler, bir blok kanıtları kesin zaman damgalarıyla listeler, bir satır zaten ne yaptığınızı ve bir satır ne talep ettiğinizi söyler. Vaka referans numarası talebini sona koyun, böylece meşgul bir analist konuşma yerine bir numarayla yanıt verebilsin.

Gönderdiğiniz kopyadan sırları çıkarın. Parolalar, oturum belirteçleri, ilgisiz kişisel veriler ve iç ana bilgisayar adları alıcıya yardımcı olmaz ve sizin maruziyetinizi artırır. Olay hukuki kanıt hâline gelebilecekse düzenlenmemiş aslı sınırlı erişimli bir yerde ve kayıtlı bir karma ile saklayın. Aşağıdaki komutlar, bir şey yazmadan önce bir adres hakkındaki kamuya açık gerçekleri toplar.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Gerçekten gözlemlediğiniz adresle değiştirin ve yukarıdaki gibi bir belge aralığının canlı bir kayıt döndürmeyeceğini unutmayın. whois çıktısı VPN markası yerine bir barındırma sağlayıcısı adlandırıyorsa, doğru alıcı o sağlayıcıdır, çünkü adres tahsisi ve müşteri ilişkisi ondadır.

Yanıtı ele alın ve kaydı saklayın

Sessizlik hiçbir şey olmadığı anlamına gelmez. İşletmeciler rutin olarak bir bildirim üzerine işlem yaparlar ve bunu bildirimde bulunana söylemezler; hem müşteri bilgilerini açıklayamadıkları hem de politikaları bunu yasaklayabildiği için. Vaka numarası içeren kısa bir teyit, bekleyebileceğiniz en fazla şeydir ve daha fazla teknik ayrıntı talebi bir gecikme değil, iyi bir işarettir.

Bir bildirim açıkken bir adrese veya sağlayıcıya yönelik suçlama yayımlamayın. Paylaşılan bir çıkışı suçlu olarak göstermek o çıkışın diğer tüm müşterilerini cezalandırır ve dosya daha sonra hukuki bir sürece ulaşırsa zarar verebilir. NIST olay müdahale rehberi, olay kayıtlarının kökenini ve gizliliğini müdahalenin bir parçası olarak görür, sonrasında yapılan evrak işi olarak değil.

Döngüyü kendi kayıtlarınızda kapatın: neyi kime, ne zaman gönderdiniz ve bunun sonucunda ne değişti. Sonraki olayı bir telaştan, ilk adımı bilinen bir prosedüre dönüştüren tam olarak bu geçmiştedir.