Як повідомити про зловживання, що надходить із виходу VPN

Трафік із виходу VPN може бути зловживанням і не казати вам, хто його надіслав, а звіт, який ви пишете, залежить від того, на яке з трьох питань відповідаєте. Зупинити трафік — сьогодні ваше завдання. Збереження доказів — це процедура. Ідентифікація особи потребує юридичного процесу, якого у вас, найімовірніше, немає. Звіти провалюються, коли ці три змішуються в одну скаргу, бо отримувач може діяти лише в тій частині, яка належить йому.

Спершу розділіть три питання

Почніть із рішення, якого результату ви хочете. Якщо мета — зупинити запити, сьогодні ви можете заблокувати діапазон адрес, обмежити обліковий запис або посилити кінцеву точку, і звіт про зловживання є другорядним. Якщо мета — запис, який витримає перевірку, вам потрібні мітки часу, ідентифікатори запитів і незмінений оригінал, збережений у безпечному місці. Якщо мета — ім'я за адресою, вам потрібен юридичний процес оператора або рішення суду, і жодна приватна скарга цього не замінює.

Їх змішування дає класичний непридатний звіт: розлючений абзац, немає часового поясу, вимога даних абонента і жодного натяку, що отримувач міг би зробити, навіть якби хотів допомогти. Такий звіт закривають без дій, і відправник робить висновок, що служби зловживань нічого не роблять. Отримувачу не було з чим працювати.

Запишіть три відповіді, перш ніж відкрити лист. Вони задають тон, довжину і прохання.

Що доводить адреса виходу і що ні

Адреса, пов'язана з VPN, каже, звідки трафік увійшов в інтернет, а не хто його почав. Комерційний вихід одночасно використовують багато клієнтів, а NAT операторського класу перед ним може ділити одну публічну адресу між тисячами абонентів за допомогою діапазонів портів. RFC 6269 описує цю модель спільного використання адрес, і практичний наслідок: адреса джерела плюс мітка часу можуть ідентифікувати абонента, лише якщо оператор досі зберігає відповідність для тієї миті.

Фіксуйте те, що можете довести. Це мітка часу в UTC із зазначеним початковим поясом, адреса джерела, порт джерела, протокол і ідентифікатор запиту, а також чи дія надійшла з автентифікованого облікового запису чи з анонімного запиту. Збережіть сирий запис, потім підготуйте відредаговану копію для отримувача. Скриншот — погана заміна оригінальному рядку в журналі.

Терміни зберігання короткі й різняться залежно від оператора. Що раніше ви запитаєте, то вища ймовірність, що відповідність ще існує, і це головний аргумент за швидкий звіт, навіть коли проблему вже пом'якшено.

Виберіть канал, який справді може діяти

Існують три канали, і вони не взаємозамінні. Служба зловживань оператора виходу може розслідувати власного клієнта і може призупинити обліковий запис. Контакт реєстру для діапазону адрес може вказати правильного оператора, коли запис whois застарілий або належить перепродавцю. Правоохоронні органи займаються підозрою на злочин, погрозами та серйозними порушеннями, і лише цей канал може примусити до розкриття в більшості юрисдикцій.

Канал обирають дві умови. Інцидент триває, що говорить за спершу пом'якшення і паралельний звіт, чи він історичний, що говорить за збереження доказів передусім? Вам потрібно, щоб трафік зупинився, на що можуть вплинути всі три, чи вам потрібна особа, яку може дати лише юридичний шлях? Третя умова вирішує, скільки деталей надіслати: оператору, який керує виходом, потрібні технічні подробиці, а контакту реєстру — лише діапазон адрес і проблема.

Коли інцидент — це тривалий злочин, служба зловживань і влада не є альтернативами. Повідомте обом і дайте оператору знати, що може надійти юридичний запит, щоб його власна політика зберігання спрацювала.

Напишіть звіт, за яким отримувач може діяти

Тримайте повідомлення достатньо коротким, щоб прочитати за хвилину. Один абзац каже, що і коли сталося, один блок перелічує докази з точними мітками часу, один рядок каже, що ви вже зробили, і один рядок — що просите. Прохання про номер справи поставте в кінці, щоб зайнятий аналітик міг відповісти номером, а не розмовою.

Видаліть секрети з копії, яку надсилаєте. Паролі, токени сеансів, не пов'язані особисті дані та внутрішні імена хостів не допомагають отримувачу і підвищують вашу власну вразливість. Зберігайте невідредагований оригінал у місці з обмеженим доступом і записаним хешем, якщо інцидент може стати юридичним доказом. Команди нижче збирають публічні факти про адресу, перш ніж ви щось напишете.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Замініть адресу, яку ви справді спостерігали, і зважте, що документаційний діапазон, подібний до наведеного вище, не поверне живого запису. Якщо вивід whois називає хостинг-провайдера, а не бренд VPN, саме цей провайдер є правильним отримувачем, бо він тримає розподіл адреси й відносини з клієнтом.

Обробіть відповідь і збережіть запис

Мовчання не означає, що нічого не сталося. Оператори регулярно діють за звітом, не повідомляючи про це заявнику, оскільки не можуть розкривати дані клієнта і оскільки їхня політика може це забороняти. Коротке підтвердження з номером справи — максимум, на який варто чекати, а прохання надіслати більше технічних деталей — добра ознака, а не затримка.

Не публікуйте звинувачення проти адреси чи провайдера, поки звіт відкритий. Назвати спільний вихід винним — це покарати кожного іншого клієнта цього виходу, і це може зашкодити справі, якщо вона згодом дійде до юридичного процесу. Настанова NIST щодо реагування на інциденти вважає походження і конфіденційність записів про інцидент частиною реагування, а не паперовою роботою після нього.

Замкніть цикл у власних записах: що ви надіслали, кому, коли і що змінилося внаслідок цього. Саме ця історія перетворює наступний інцидент із метушні на процедуру з відомим першим кроком.