Cách báo cáo lưu lượng lạm dụng đến từ một đầu ra VPN

Lưu lượng từ một đầu ra VPN có thể là lạm dụng mà không cho bạn biết ai đã gửi nó, và báo cáo bạn viết phụ thuộc vào việc bạn đang trả lời câu hỏi nào trong ba câu hỏi. Chặn lưu lượng là việc của bạn hôm nay. Bảo toàn bằng chứng là một quy trình. Nhận diện một người cần một quy trình pháp lý mà bạn có lẽ không có. Báo cáo thất bại khi ba điều đó bị trộn vào một khiếu nại, vì người nhận chỉ có thể hành động trên phần thuộc về họ.

Trước hết hãy tách ba câu hỏi

Bắt đầu bằng việc quyết định kết quả bạn muốn. Nếu mục tiêu là chặn các yêu cầu, hôm nay bạn có thể chặn dải địa chỉ, giới hạn tốc độ tài khoản hoặc siết chặt điểm cuối, và báo cáo lạm dụng là thứ yếu. Nếu mục tiêu là một bản ghi chịu được kiểm tra, bạn cần dấu thời gian, mã định danh yêu cầu và bản gốc chưa chỉnh sửa được lưu ở nơi an toàn. Nếu mục tiêu là một cái tên đằng sau địa chỉ, bạn cần quy trình pháp lý của nhà điều hành hoặc lệnh của tòa án, và không khiếu nại riêng lẻ nào thay thế được.

Trộn chúng lại tạo ra báo cáo vô dụng kinh điển: một đoạn văn giận dữ, không có múi giờ, một yêu cầu cung cấp dữ liệu thuê bao và không có dấu hiệu nào cho thấy người nhận có thể làm gì ngay cả khi muốn giúp. Báo cáo đó bị đóng mà không có hành động, và người gửi kết luận rằng các bàn lạm dụng không làm gì cả. Người nhận không có gì để hành động.

Viết ba câu trả lời trước khi mở email. Chúng quyết định giọng điệu, độ dài và yêu cầu.

Địa chỉ đầu ra chứng minh điều gì và không chứng minh điều gì

Một địa chỉ gắn với VPN cho bạn biết lưu lượng đã vào internet từ đâu, không phải ai đã khởi tạo nó. Một đầu ra thương mại được nhiều khách hàng chia sẻ cùng lúc, và NAT cấp nhà mạng phía trước có thể chia sẻ một địa chỉ công cộng giữa hàng nghìn thuê bao bằng dải cổng. RFC 6269 mô tả mô hình chia sẻ địa chỉ đó, và hệ quả thực tế là địa chỉ nguồn cộng với dấu thời gian chỉ có thể nhận diện một thuê bao nếu nhà điều hành vẫn còn giữ ánh xạ cho thời điểm đó.

Ghi lại những gì bạn có thể chứng minh. Đó là dấu thời gian theo UTC với múi giờ gốc được ghi chú, địa chỉ nguồn, cổng nguồn, giao thức và mã định danh yêu cầu, và việc hành động đến từ một tài khoản đã xác thực hay một yêu cầu ẩn danh. Giữ bản ghi thô, sau đó tạo một bản sao đã chỉnh sửa cho người nhận. Ảnh chụp màn hình là một thứ thay thế kém cho dòng gốc trong nhật ký.

Cửa sổ lưu giữ ngắn và khác nhau tùy nhà điều hành. Bạn hỏi càng sớm, khả năng ánh xạ vẫn tồn tại càng cao, và đó là lập luận chính để báo cáo nhanh ngay cả khi bạn đã giảm nhẹ vấn đề.

Chọn kênh thực sự có thể hành động

Có ba kênh và chúng không thể thay thế cho nhau. Bàn lạm dụng của nhà điều hành đầu ra có thể điều tra khách hàng của chính mình và có thể tạm ngưng tài khoản. Liên hệ đăng ký cho dải địa chỉ có thể chỉ cho bạn nhà điều hành đúng khi bản ghi whois đã cũ hoặc thuộc về một nhà bán lại. Cơ quan thực thi pháp luật xử lý tội phạm bị nghi ngờ, đe dọa và xâm phạm nghiêm trọng, và chỉ kênh đó mới có thể buộc tiết lộ ở hầu hết các khu vực pháp lý.

Hai điều kiện chọn kênh. Sự cố đang diễn ra, điều này ủng hộ việc giảm nhẹ trước và báo cáo song song, hay là sự cố lịch sử, điều này ủng hộ việc bảo toàn bằng chứng trước mọi thứ? Bạn cần lưu lượng dừng lại, điều mà cả ba đều có thể ảnh hưởng, hay cần một danh tính, điều mà chỉ con đường pháp lý mới có thể cung cấp? Điều kiện thứ ba quyết định gửi bao nhiêu chi tiết: nhà điều hành vận hành đầu ra cần chi tiết kỹ thuật, trong khi liên hệ đăng ký chỉ cần dải địa chỉ và vấn đề.

Khi sự cố là một tội phạm đang diễn ra, bàn lạm dụng và nhà chức trách không phải là lựa chọn thay thế. Báo cáo cho cả hai, và cho nhà điều hành biết rằng một yêu cầu pháp lý có thể theo sau để chính sách lưu giữ của họ được kích hoạt.

Viết báo cáo mà người nhận có thể hành động

Giữ tin nhắn đủ ngắn để đọc trong một phút. Một đoạn nói điều gì đã xảy ra và khi nào, một khối liệt kê bằng chứng với dấu thời gian chính xác, một dòng nói bạn đã làm gì và một dòng nói bạn yêu cầu gì. Đặt yêu cầu về số tham chiếu vụ việc ở cuối để một nhà phân tích bận rộn có thể trả lời bằng một con số thay vì một cuộc trò chuyện.

Loại bỏ bí mật khỏi bản sao bạn gửi. Mật khẩu, mã phiên, dữ liệu cá nhân không liên quan và tên máy chủ nội bộ không giúp người nhận và làm tăng mức phơi bày của chính bạn. Giữ bản gốc chưa chỉnh sửa ở nơi có quyền truy cập hạn chế và một hàm băm được ghi lại nếu sự cố có thể trở thành bằng chứng pháp lý. Các lệnh dưới đây thu thập các sự kiện công khai về một địa chỉ trước khi bạn viết bất cứ điều gì.

whois 198.51.100.7 | grep -iE 'orgname|netrange|abuse'
dig +short -x 198.51.100.7
grep '198.51.100.7' /var/log/nginx/access.log | head -n 20

Thay bằng địa chỉ bạn thực sự quan sát được, và lưu ý rằng một dải tài liệu như trên sẽ không trả về bản ghi sống. Nếu đầu ra của whois nêu tên một nhà cung cấp dịch vụ lưu trữ thay vì thương hiệu VPN, nhà cung cấp đó là người nhận đúng, vì họ giữ việc phân bổ địa chỉ và mối quan hệ với khách hàng.

Xử lý phản hồi và giữ bản ghi

Im lặng không có nghĩa là không có gì xảy ra. Các nhà điều hành thường hành động dựa trên báo cáo mà không nói với người báo cáo, cả vì họ không thể tiết lộ thông tin khách hàng và vì chính sách của họ có thể cấm điều đó. Một xác nhận ngắn kèm số vụ việc là mức tối đa bạn nên mong đợi, và một yêu cầu thêm chi tiết kỹ thuật là dấu hiệu tốt, không phải sự chậm trễ.

Không công bố cáo buộc chống lại một địa chỉ hoặc nhà cung cấp khi báo cáo còn mở. Gọi một đầu ra dùng chung là thủ phạm sẽ trừng phạt mọi khách hàng khác của đầu ra đó và có thể gây bất lợi cho vụ việc nếu sau này nó đến một quy trình pháp lý. Hướng dẫn ứng phó sự cố của NIST coi nguồn gốc và tính bảo mật của hồ sơ sự cố là một phần của ứng phó, không phải giấy tờ làm sau đó.

Khép vòng lặp trong hồ sơ của chính bạn: bạn đã gửi gì, cho ai, khi nào và điều gì đã thay đổi nhờ đó. Chính lịch sử đó biến sự cố tiếp theo từ một cuộc lộn xộn thành một quy trình với bước đầu tiên đã biết.