VPN ziyaretçi kontrolleri: itibarı ve gecikmeyi güvenle puanlamak

Bir dolandırıcılık panosu ziyaretçiyi VPN olarak işaretler, analist blok ister ve istek platform ekibine satıcının yalnızca bir boole değeriyle ulaşır. Bu boole bir tahmindir ve gecikme ölçümünden farklı bir yönde yanılır. Harekete geçmeden önce isteğin kendisinin neyi kanıtladığını, bir itibar servisinin neyi iddia ettiğini ve zamanlamanın yalnızca neyi ima ettiğini ayırın. Sonra tahmin yanlış çıktığında geri alabileceğiniz bir yanıt seçin.

Savunabileceğiniz istek gerçeklerini toplayın

Sunucunuzun kesin olarak bildiği tek adres, bağlantıyı tamamlayan TCP eşidir. Bir CDN veya ters proxy bu bağlantıyı sonlandırdığında eş kenardır ve istemci adresi yalnızca kendi kenarınız eklediyse güvenilir olan bir yönlendirme başlığında yol alır. Proxy'nizin yazdığı girdiyi okuyun, asla en soldaki dizeyi değil, çünkü istemci o konuma istediği değeri gönderebilir. Aşağıdaki her şey bu ayrımı korumalıdır.

İki ucuz zenginleştirme adresi incelenebilir hale getirir: onu duyuran otonom sistem ve ona geri işaret eden PTR kaydı. İkisi de davranışı değil kaydı tanımlar ve ikisi de daha sonra yeniden üretilebilir.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

Barındırma ASN'si güçlü bir ipucudur, hüküm değil. Kurumsal VPN toplayıcıları, bulut çıkışları ve bazı üniversite ağları da veri merkezlerinde bulunur, bu nedenle ticari bir çıkışı yakalayan aynı sinyal meşru bir ofisi de yakalar. Adresi yalnızca incelemenin ihtiyaç duyduğu sürece saklayın, çünkü IP çoğu gizlilik rejiminde kişisel veridir. Süresiz tutmak yerine bir programa göre silin.

Kısıtlamadan önce ziyaretçiyi puanlayın

Her yeni sinyali önce gözlem modunda çalıştırın. Girdileri ve bir neden kodu kaydedin, her isteğin geçmesine izin verin ve puan dağılımını meşru olduğunu bildiğiniz hesaplarla karşılaştırın. Bu, kimse erişimi kaybetmeden önce bir yanlış pozitif tahmini üretir ve bir kuralın etkinleştirilmesinin güvenli olup olmadığına o sayı karar verir.

Toplamı iki yerine üç eyleme eşleyin: izin ver, kademeli meydan okuma, manuel inceleme. Kalıcı bir blok, bir kişi tarafından onaylanmış tekrarlanan kötüye kullanım gerektirmelidir, çünkü kurumsal bir yolcuda yanlış pozitif bir destek bileti ve kaybedilen oturuma mal olur, oysa tek bir istekte yanlış negatif neredeyse hiçbir şeye mal olmaz.

İtibar sorgusunu sunucu tarafında ve sınırlı tutun

İtibar servisini arka uçtan kısa bir zaman aşımıyla çağırın, kararı sabit bir süre önbelleğe alın ve zaman aşımını temiz değil bilinmeyen olarak işleyin. API anahtarını asla istemci tarafı koduna koymayın ve sorgunun sayfa oluşturmayı engellemesine asla izin vermeyin; yavaş bir üçüncü taraf siteyi değil puanı düşürmelidir.

Aralık yerine adrese göre önbelleğe alın. Tek bir sorgudan tüm /24'ü sınıflandırmak, hiç ölçmediğiniz komşulara yanlış bir karar yayar. Satıcıyı, yanıt tarihini ve sınıflandırma değerini neden kodunun yanına kaydedin, böylece daha sonraki bir inceleme hangi yargının yürürlükte olduğunu bilebilsin.

İki sağlayıcı aynı adresi bir gün içinde farklı sınıflandırabilir, bu yüzden karar kimlik sütununa değil kanıt sütununa aittir. Bu aynı zamanda bir işleme ilişkisidir: her ziyaretçinin adresini üçüncü tarafa göndermek hukuki bir dayanak, saklama kuralı ve gizlilik bildiriminde bir satır gerektirir.

Gecikmeyi tek örnekle değil medyanla ölçün

Gidiş-dönüş süresi ölçtüğünüz andaki yolu tanımlar. Yakındaki bir anycast kenarı uzak bir kullanıcıya hizmet edebilir, mobil ağ coğrafyayla ilgisi olmayan gecikme ekler ve ziyaretçinin kendi ülkesindeki bir VPN çıkışı yerel görünür. Şehir düzeyinde konum belirleme çoğu zaman kişiyi değil veri merkezini bildirir.

Birkaç örnek alın ve tek bir yavaş isteğin sonucu kaydırmaması için medyanı kullanın. Aşağıdaki döngü beşin medyanını yazdırır.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Sayıyı mutlak bir eşik yerine bilinen iyi kullanıcıların dağılımıyla karşılaştırın ve ASN ile birleştirin. Hemfikir iki zayıf sinyal tek başına her birinden güçlüdür, ancak sonuç hâlâ niyetle değil yolla ilgilidir, bu yüzden bir puana aittir, yasağa değil.

Karar verin, kaydedin ve geri alın

Bir kuralı etkinleştirmeden önce gözlem modunda bir günlük trafiği yeniden oynatın ve ne olacağını sayın. Puan girdilerini, neden kodunu ve kural sürümünü saklayın, ancak ham adresleri yalnızca inceleme penceresi için tutun. Kural meşru bir hesapta tetiklenirse, kayıt ikinci bir soruşturma olmadan nedenini açıklamalıdır.

Her kurala kendi anahtarını verin. Kademeli doğrulama tamamlanması düştüğünde veya destek biletleri arttığında o kuralı devre dışı bırakın ve ardışık düzenin geri kalanını çalışır durumda tutun; tek bir küresel öldürme anahtarı bir ayar sorununu kesintiye dönüştürür. Değişiklikten sonra yalnızca blok sayısını değil, meydan okuma tamamlanma oranını ve itiraz kuyruğunu izleyin.

Son olarak, yanıtı önlediğiniz kayıpla orantılı tutun. Reklam dolandırıcılığında VPN durumu sahte bir tıklama için zayıf bir vekildir ve dönüşüm kalıpları ile cihaz tutarlılığı gibi davranış sinyalleri gerçek zararı ele alır. Geri alınabilir bir meydan okuma hem geliri hem de gerçek kullanıcıyı aynı anda korur.