Làm cách nào để xử lý các báo cáo lạm dụng như một ISP?


12

Tôi đang thành lập một doanh nghiệp nhỏ sẽ cung cấp dịch vụ internet cho một thị trường thích hợp. Chúng tôi sẽ cung cấp đầy đủ không bị hạn chế và không bị giám sát (theo luật pháp cho phép - và trong khi chúng tôi không có khả năng bắt các gói nếu truy cập internet hợp lý) và tôi không chắc chúng ta nên ứng phó với lạm dụng như thế nào báo cáo (một tìm kiếm Google không tìm thấy bất cứ điều gì có liên quan).

Giả sử tôi nhận được e-mail về SSH bruteforce đến từ một trong những IP của khách hàng của chúng tôi. Làm thế nào để tôi biết liệu nó có chính hãng và không phải là một troll (mục nhật ký và thậm chí .pcaps có thể bị làm giả)? Làm thế nào để các ISP lớn làm điều đó (đối với những người thực sự quan tâm đến các báo cáo lạm dụng)?

Tương tự như vậy, khiếu nại về thư rác, làm cách nào để kiểm tra xem chúng có phải là chính hãng hay không trước khi hành động? Đây thậm chí là một vấn đề? Đã có những trường hợp troll sẽ báo cáo ai đó về cáo buộc làm những việc xấu với hy vọng khiến họ gặp rắc rối với nhà cung cấp của họ?

Tôi có bị kết án để đăng nhập từng gói tin rời khỏi mạng của mình không hoặc có một giải pháp tiêu chuẩn công nghiệp nào không đi đến cực đoan như vậy không?

Trân trọng.


Tại sao bạn sẽ xử lý các báo cáo lạm dụng?
Michael Hampton

6
Ý anh là gì? Nếu ai đó phàn nàn một cách hợp pháp về một trong những khách hàng của chúng tôi phát tán thư rác / DoS / bruteforce, tôi muốn làm gì đó với nó, giống như tôi không đánh giá cao việc kết thúc các cuộc tấn công đó (và tôi nghi ngờ bất kỳ ai cũng vậy).
André Borie

2
Đó là một câu trả lời tốt. Vì vậy, những gì trong điều khoản dịch vụ của bạn?
Michael Hampton

1
Điều khoản dịch vụ cho phép chúng tôi chấm dứt kết nối của ai đó vì bất kỳ lý do gì và chính sách sử dụng được chấp nhận sẽ cấm DoS, spam, bruteforce, về cơ bản bất cứ điều gì chúng tôi cho là độc hại. Câu hỏi chính của tôi là sau khi khiếu nại, tôi nên đánh giá như thế nào là chính hãng hay troll / sai lầm? Ghi nhật ký mọi gói sẽ làm điều đó nhưng về mặt kỹ thuật là không thể ngay cả khi chúng tôi muốn làm điều đó, vì vậy tôi đang hỏi làm thế nào các cầu thủ lớn làm điều đó.
André Borie

3
@MichaelHampton Một cỗ máy phun ra các cuộc tấn công bruteforce SSH có khả năng bị xâm phạm. Nếu bạn có lý do để tin rằng một trong những khách hàng của bạn bị xâm phạm và bạn thậm chí không nói với họ, thì bạn thật tồi tệ trong công việc.
David Schwartz

Câu trả lời:


20

Nói chung, bạn đang hoạt động như một nhà cung cấp trung lập và có lẽ không nên kiểm tra nội dung. Quy trình chung để xử lý các báo cáo lạm dụng là thiết lập một hệ thống vé hoặc thậm chí chỉ là một hộp thư nhặt được lạm dụng @ yourdomain và sau đó chuyển tiếp báo cáo cho người dùng cuối.

Tôi đang nói chung bởi vì trong khi tôi có nhiều kinh nghiệm cụ thể trong lĩnh vực này, thì cách thức thực hiện tại địa điểm của chúng tôi sẽ không chính xác như bất kỳ ai khác làm điều đó. Bạn cần điều chỉnh cách tiếp cận các dịch vụ bạn cung cấp. Điều đó đang được nói, tôi có thể cung cấp cho bạn một số lời khuyên không quá cụ thể và tạo thành cơ sở cho cách mà hầu hết các nơi xử lý lạm dụng. Mặc dù vậy, tôi không phải là luật sư và điều này không nên được hiểu là ý kiến ​​của bất kỳ ai mà là của riêng tôi, chỉ trong trường hợp ai đó đủ điên rồ để theo dõi ai là chủ nhân của tôi.

Hy vọng rằng một số điều này là hữu ích mặc dù.

Thủ tục cơ bản:

  1. Bạn có một địa chỉ email lạm dụng.
  2. Thư đến để xếp hàng lạm dụng
  3. Nói với phóng viên lạm dụng bạn sẽ vượt qua nó.
  4. Tra cứu khách hàng nào đang sử dụng IP đó, chuyển tiếp báo cáo cho họ và hỏi xem họ có biết chuyện gì đang xảy ra không.
  5. Cung cấp cho người dùng cuối không phản hồi với một cái gì đó thực sự ngu ngốc, một hướng dẫn dọc theo dòng chữ "Xin đừng để nó xảy ra lần nữa" là tốt nhất. Có những dự án hợp pháp báo cáo lạm dụng, nhưng chủ yếu là những dự án này xảy ra vì các nhà nghiên cứu bảo mật, nếu đó không phải là sở thích của bạn thì bạn sẽ không cần phải lo lắng.
  6. Chuyển đến bước 1 và lặp lại.

Hầu hết các lần một vòng qua là đủ. Lừa đảo lạm dụng không phải là điều tôi thực sự thấy nhiều, ý tôi là nó xảy ra nhưng nó thực sự rõ ràng vì họ đang cố gắng khiến người đó gặp rắc rối trong khi các báo cáo lạm dụng hợp pháp có xu hướng là "Chúng tôi không quan tâm tại sao nó lại xảy ra xảy ra, chỉ cần làm cho nó dừng lại "loại.

Những việc bạn nên làm

Bạn có thể sẽ thấy một vài cảnh báo vi phạm bản quyền, một loạt các báo cáo spam, cảnh báo bí mật thường xuyên hơn ... Xu hướng lưu trữ máy chủ theo hướng đa dạng hơn, băng thông rộng là vi phạm bản quyền hơn, mọi người đều nhận được báo cáo spam. Chuyển tiếp tất cả chúng. Hầu hết thời gian khách hàng sẽ nài nỉ, sau đó dọn dẹp PC của họ hoặc dọn dẹp hành động của họ. Nếu họ quyết tâm giữ nó, có lẽ họ sẽ che dấu vết của họ tốt hơn.

Thông thường các báo cáo lạm dụng được tạo ra để phản ứng với các hành động của các máy bị xâm nhập ... trẻ em có vấn đề muốn gây lộn xộn ở sân trước của người khác để nó không theo dõi đến nhà của chúng và khiến cha mẹ chúng không vui. Giả sử rằng khách hàng không cố ý gửi thư rác. Cố gắng cung cấp cho khách hàng lợi ích của sự nghi ngờ trong lần đầu tiên họ nhận được báo cáo chống lại họ.

Cảnh báo có thể mất một thời gian để dừng lại nếu bạn có một người gửi thư rác thực sự lớn, nhưng nếu bạn tiếp tục thấy các báo cáo với các sự kiện sau khi khách hàng bị cảnh báo hoặc họ nhận được rất nhiều khiếu nại, bạn có thể muốn xem xét việc chấm dứt chúng vì AUP vi phạm. Có lẽ bạn sẽ nhận ra khá nhanh nếu ai đó giả mạo báo cáo đủ để đạt đến điểm đó.

Có đồ thị lưu lượng giao thông. Hầu hết các loại báo cáo lạm dụng (spam, bản quyền, ddos) sẽ làm sáng một biểu đồ lưu lượng truy cập ... trung bình 40kbit nhưng đột nhiên nhảy lên 10mbit và ở đó hàng giờ? Đừng làm bất cứ điều gì cho đến khi ai đó phàn nàn hoặc nó bắt đầu tác động đến khách hàng, nhưng lưu lượng truy cập không thường xuyên chắc chắn sẽ cung cấp cho bạn đạn.

Những việc không nên làm ...

Đừng đưa ra thông tin khách hàng trừ khi có ai đó đưa cho bạn lệnh của tòa án và bạn có thể chứng minh rằng lệnh đó là hợp pháp. Một số phóng viên lạm dụng sẽ hỏi thông tin với hy vọng có được một nhà cung cấp hợp tác xã, nhưng nếu bạn chuyển nó cho bất kỳ ai khác ngoài tòa án thì có lẽ bạn đang tạo ra các vấn đề pháp lý cho chính mình. Cảnh sát thường không gửi email cho bạn yêu cầu liên hệ thanh toán của khách hàng của bạn và ngay cả khi họ vẫn làm thế, bạn vẫn nên nói với họ rằng bạn chỉ có thể cung cấp thông tin đó trực tiếp và trình bày lệnh của tòa án thích hợp.

Đừng tắt một khách hàng chỉ vì ai đó liên lạc với hàng đợi lạm dụng của bạn và yêu cầu bạn. Nếu họ báo cáo lạm dụng, bạn cần yêu cầu họ cung cấp một số bằng chứng mà bạn có thể hành động ... Tôi đã nói rằng giả mạo báo cáo lạm dụng là không phổ biến, tôi đã không nói rằng điều đó đã không xảy ra. Bao nhiêu bạn thấy nó phụ thuộc hoàn toàn vào mức độ mục tiêu của cơ sở khách hàng của bạn. Các bà già nhỏ bé có lẽ sẽ không tấn công sự chú ý của các quỷ lùn, mặt khác có thể co giật.

Tương tự, đừng để các phóng viên lạm dụng bắt nạt bạn ... một số người có thể thực sự đe dọa và gây hấn với báo cáo của họ nếu bạn không tuân theo lệnh của họ ngay lập tức. Trách nhiệm của bạn như một ống dẫn là chuyển tiếp các thông báo và hành động kịp thời nếu khách hàng không hợp tác. Bạn chỉ trở nên có trách nhiệm nếu bạn biết khách hàng đang làm điều gì đó xấu và để họ tiếp tục. Có một chính sách hợp lý (đọc: không ủng hộ cướp biển) và tuân thủ nó, điều đó sẽ giúp ích nếu mọi thứ trở nên khó khăn. Nếu bạn chỉ cung cấp băng thông và không lưu trữ, có lẽ bạn không chịu trách nhiệm gỡ xuống nội dung trừ khi khách hàng của bạn không làm như vậy khi bạn hỏi họ.

Đừng căng thẳng quá nhiều. 99,9% báo cáo lạm dụng tại ISP là một công cụ thủ tục thực sự nhàm chán với số tiền "Tôi thấy điều tồi tệ này đến từ mạng của bạn, có lẽ đó là một máy bị xâm nhập, vui lòng xem trong đó."

Trong hầu hết các trường hợp, so sánh thời gian sự kiện được báo cáo với biểu đồ lưu lượng sẽ cho bạn biết tính hợp pháp của báo cáo. Các quy trình thù địch không gửi email hoặc quét cổng trong một hoặc hai.

Một điều cuối cùng.

Nếu bạn từng gặp phải một vụ lạm dụng mà cảnh sát có liên quan, hãy đảm bảo hỏi rõ ràng họ muốn bạn làm gì cho họ nhưng đừng mong họ có câu trả lời siêu kỹ thuật. Đôi khi cảnh sát không hoàn toàn quen thuộc với công nghệ liên quan (tôi đã nói rằng trong một dịp họ muốn đến thăm chúng tôi để chiếm giữ một vật lý VPS, điều đó thật thú vị) nhưng họ có ý tưởng về những gì họ muốn đạt được. Chính xác thì họ sẽ làm gì sau đó phụ thuộc hoàn toàn vào loại dịch vụ bạn cung cấp.


4

Nếu bạn sẽ triển khai như một ISP không được giám sát, có lẽ bạn sẽ không thể xác nhận rằng lưu lượng độc hại đang truyền qua mạng của bạn. Mặt khác, rất có thể bạn cần thiết lập một số hình thức giám sát lưu lượng cơ bản, ít nhất là một hệ thống TCPDump.

Bạn cũng có thể muốn thiết lập một số loại hệ thống bán vé và chuyển khiếu nại nghiêm trọng cho khách hàng của bạn. Yêu cầu trả lời trong một khoảng thời gian nhất định, với các lệnh cấm dịch vụ do không trả lời hoặc khắc phục sự cố, v.v.

Bạn không thể luôn xác định xem một báo cáo là đúng hay sai, nhưng theo kinh nghiệm của tôi, bạn sẽ nhanh chóng học cách đánh giá tính hợp lệ. Đặt yêu cầu để gửi khiếu nại lạm dụng - ví dụ: yêu cầu lưu lượng truy cập hoặc nhật ký truy cập hiển thị rõ ràng sự tham gia mạng của bạn.

Khiếu nại thư rác thường bao gồm các tiêu đề email và nguồn, vì vậy bạn có thể đưa ra từng trường hợp theo quyết định của từng trường hợp về cách xử lý chúng. SpamCop nên có một số tốt

Làm quen với DMCA hoặc luật Bản quyền tương đương của Vương quốc Anh.

Bạn có thể sẽ phải thiết lập một số tiền lệ cho chính mình và giúp thiết lập giai điệu cho cách sử dụng dịch vụ của bạn.

Chúc may mắn


Hệ thống bán vé đã được áp dụng, và tcpdump hoàn toàn có thể trong từng trường hợp cụ thể, tôi chỉ tự hỏi liệu có giải pháp nào khác không, nhưng có vẻ như đó là giải pháp. Cảm ơn câu trả lời của bạn.
André Borie
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.