良い利益を上げながら、サイバー犯罪に対処する方法

悪は悪を「戦う」か、犯罪者が他の人と戦うふりをする方法

覚えている人がいたら、2000年代初頭には「救いは悪を打ち負かす」という言葉がありましたが、後に「救いを打ち負かす」に変わりました。 私たちの物語では、「悪は悪と戦うことによって善を征服します。」







むかし、VPSや他の専用サーバーをリースするために、別の学校ホストホスティング会社を設立することにしました。 投資家はプロジェクトに慎重でした。 彼らは言った：

「もちろん、このアイデアはクールで新鮮です。市場にはこれに似たものはありません（シェルドンクーパー-皮肉が突然読まれた場合）...しかし、このトピックは新しいので、プロジェクトが機能していることを確認してから大金を提供します。」

そしてもちろん、あなたはそれらを理解することができます。 投資を受けて秘書、コーヒーマシン、強力なゲーム用コンピューターを備えたクールなオフィスを購入した後、突然、なんらかの理由で誰も製品を必要とせず、愚かな顧客が素晴らしいアプリケーションのために並んでいないことに気付いたスタートアップは何人いましたか？ データセンターと契約を結びました（データセンターの仕事は、「テレハウスエリアでビジネスを構築しない方法」というトピックに関する別の小説です。後で説明します）。 サーバー、ストレージ、「tsiska」を購入し、ソフトウェアライセンスを購入し、アップストリームと契約を結び、友人から22番目のネットワークを借りて仕事を始めました。投資家に「クラウド」やマーケティング担当者のその他の発明のクールさを示しました。 サーバーは新鮮で、ストレージは高速で、価格は手頃で、人々は行きました。 すべてが良いようです。 新しいブレードバスケットを知り、購入して、市場シェアを増やしましょう。



しかし、その後、最初の呼び出しが到着しました（文字通り、比fig的な意味で）。 当時の最大のプロバイダーである私たちのチーフは私に連絡して言った：

「そこに問題があります。私たちの「ノキ」は、バッチでスパムを送信すると言います。 ドライブアウト。」

私は思う：

「他にどのようなスパムがありますか？ トラフィックを監視し、スパマーを禁止しているようです。一般的に、ネットワークを監視しているので、何も起こらないはずです。」

私はノックに接続し、彼らは私に言う：

「スパムハウスからの虐待はあなたにかかっています。 2日以内に解決しない場合、BGPセッションに勝ちます。」

そして、ここで最初の間違いを理解しました。グリッド22を友人から取得しました。 そして、彼らはRIPE分野の虐待連絡先を変更するのを忘れていました。 そして、彼らはグリッドを使用せず、友人はテレコムのトピックにまったく関わっていなかったため、誰もが安全にそれを忘れていました。 Spamhouseが私たちに主張していることを確認します。 彼らには私たちのために、汚いネットワーク、サイバー犯罪、ホスティングエスカレーション、そして一人のクライアントのための他の喜びなど、完全な人たちがいることがわかります。 エントリは次のようになりました。

「サイバー犯罪ドメインprofitmax.orgなど。 @ nashipで。」

私たちは、Spamhouseとの通信に入り、何が有罪かを調べます。 ちなみに、このネットワークはRIPEで新たに入手したもので、それ以前は、私たち以外は誰も使用していませんでした。 このIPアドレスをレンタルしているクライアントに連絡しようとしています。 フィードバックを受け取っていないため、virtualkaをブロックします。 すべての苦情が解消されたというSpamhouseの購読を解除しました。 そして、それに応じて以下を取得します。

こんにちは



このネットワークは不正であり、スパマーによって運営されています。 RIPEに返されない限り、DROPから削除することはできません。



ご理解いただきありがとうございます。

-よろしく

トーマス・モリソン

私たちはアップストリームに、このようにして主張が排除されたと書いていますが、彼らは私たちを削除しません。 一時的な休息を取ります。 Spamhouseからのエントリはバッチで到着し始めます。

「ダウンローダー。 ポニーボットネットコントローラー。 スパムドメインホスティング：ytk-garant.ruなど。そして、最も重要なことは、「スパムが発生する原因：trafmarket.ru、memorhost.ruなど」です（後者は後ほど顕著な規則性で現れました）。

最初のくしゃみですぐにブロックします。 特定のトーマス・モリソンが厳しい口調で私たちに尋ねます：

「どうしてそんな人生に来たの？」

私たちは常に謝罪し、ネットワークを管理し、悪党を禁止すると言います。 しかし、トーマスは私たちに答えます：

「サイバー犯罪と同時にあなたに情報を提供し、常に新しいアドレスを提供しています（そう、65ルーブルのためにお金を稼ぐ必要があります）。」

一般に、この流れで数か月が経過しますが、ブロックする場合は追加のチャネルが必要であることを理解しています。 大規模な連邦オペレーターTIER1と交渉中です。 大規模な連邦オペレーターを接続する前に数日しか残っていない場合、戦争を宣言せずに私たちの上流は私たちにBGPを置きます。 もちろん、バックアップチャネルがあり、それをテストしました。 しかし、私たちがまだ非常に小さかったときにそう言ってみましょう。 それ以来、トラフィック量が大幅に増加し、ipv6ネットワークのアナウンスが現れました。 一般に、BGPがアップストリームを提供すると、バックアップチャネルは生成されたトラフィックの量からほとんど落ちました。 いいえ、もちろん働きましたが、ネットワークの劣化は非常に顕著でした。 接続性とipv6のアナウンスの両方で、私たちはそれを失いました（誰もが普通にそれらを扱う方法を知っているわけではないことが判明しました）。 しかし、当時、私たちのネットワークと大規模な連邦TIER1オペレーターとの接続はほぼ準備ができていて、すべてをすばやく復元することができました。 もちろん、顧客の一部を失い、補償金を支払い、仕事を続けました。 私たちのネットワークは、Spamhouseでしっかりと確立されています。 これが私たちを脅かしたものについて、さらに説明します。

サイバー犯罪者（実在および架空）とは何ですか？

最初はわずかな恐怖で降りたので、upstream1を訴えず、単に袖をまくり上げて作業を続けました。 実践が示しているように、それは非常に無駄です。 私たちのホスティングは本物のサイバー犯罪者を使用していましたか（また、「本物の」もの以外は何ですか、以下にも書きます）。 はい、もちろんです。 作業中に、それらを十分に迅速に計算する方法を学びました。それらとの戦いは大きなトラブルを引き起こしません。 では、どのような方法を使用しましたか？

最初は、すべてのトラフィックの分析です

すべてのトラフィックを分析し、異常に関するアラートを生成したアナライザーの特定のトリガーを使用して、決定を下しました。 これは警告であったか、即座にブロックされていました（特に不正なクライアントの場合）。 実際にはどのように見えましたか？ 特定のホストから多数のSMTPパケットがあることを探知者が見たと仮定します-これはスパムである可能性が高いです（ただし、大規模なオンラインストアの完全に合法的なメールがある場合もあります）。 ポートをブロックし、クライアントにこのアクティビティの説明を求めます。 ほとんどの法的クライアントは問題なく彼らの行動を説明し、将来的にはそれらを単に例外にします。 クライアントに対してDDoS攻撃が実行される場合があります。これは、着信トラフィックの大規模なフローによって特徴付けられます（多くの場合、10ギガビット/秒が仮想マシンに注がれている場合があります）。 この場合、単にクライアントに通知し、彼に向かうすべてのトラフィックをブラックホールにマージします。 現在、DDoS保護サービスに取り組んでおり、ベータテスト段階にあります。

第二-顧客分析

クライアントの名前がVera F. Talbott、Alice Grimes、Darinka Korten、またはLena Miroのように見え、ホスト名にブログという単語が表示されている場合、このかわいい女の子のブログは有名な外国銀行のページや開始ページとほとんど変わらないことがわかりましたpaypal.comページ。 どうやら、これらは現代のブログのいくつかの新しい傾向ですが、何らかの理由で銀行やペイパルはそれらを好まないので、私たちもそうです。 私たちはブロガーに対しては何もしません（実際にはありますが、個々のトレンドに対しては反対します）が、ブログデザインの独自性にもっと慎重に取り組む必要があると考えています。 そのため、このようなお客様を有効にすることも、支払いの払い戻しも行いません。 正直なところ、そのようなクライアントはまだ補償を申請していません。

第三-著作権に関する苦情

多くの場合、著作権法に該当するコンテンツの配置に関する苦情を受け取ります。 この場合、私たちは通信を開始し、サイトから違法な（著作権の保護者による）コンテンツを削除するよう求めます。 しかし、最も重要なことは、犯罪者のリスト全体から、Spamhouseからの苦情は数回だけであり、多くの場合、クライアントがすでにブロックされた後です。 それでも、Spamhouseは彼のデータベースからこれらのIPを削除することを急ぐことはなく、私たちのリクエストのようなものを書きました。

「このIPアドレスが利用可能であることがわかりました。それをブロックし、どのような対策が講じられたかを書面で報告するよう要求します。」

もちろん、私たちはそれに応じて書いた：

「はい、それはそのようなものでしたが、サイトは長い間削除されており、クライアントはブロックされています。」

長い連絡の後、Spamhouseは別のエントリを削除しました。 しかし、当社のすべてのネットワークは、「そのようなネットワークはルーティング禁止またはピアリストにリストされています」および「Spamhausブロックリストにリストされています」という恐るべき碑文でデータベースに残り続けました。

第4-架空の犯罪者

最大のカテゴリ。 私たちは定期的に「Neurevt Cyber​​crimeドメインde-conflict.ru、profitmax.orgなど」という言葉でリストを作成しました。 そのような顧客を追跡することは単に不可能でした。 外見上、通常のクライアントはVPCを注文し、注文後ほとんどすぐに、または最大で1日後にSpamhouseから虐待を受けました。 ブロックされ、長い通信が開始されました。 ちなみに、Spamhouseの最後のタイプは、しぶしぶ削除されます。 クライアントがブロックされているというメッセージを単に無視します。 しかし、それにもかかわらず、そのような記録は少なくとも月に2〜3回現れます。 同じホスティングで仮想マシンを月に2〜3回購入する人が、文字通り1時間で、またはせいぜい1日で補償なしで削除されることを事前に知っている人を想像することはできません。



これについて考えて、「Cui prodest？」という古いローマの原則を適用した後、私たちはそれが1つの組織にのみ有益であることに気付きました。 つまり-この非常にスパムハウスに。 彼らの利益は何ですか？ これについては以下で説明します。

大規模な連邦オペレーター

私たちは、主要な連邦通信事業者と協力して、スパムサービスの苦情への対応を求めるセキュリティサービスからの手紙を随時受け取り、昼夜を問わず、すばやいスピードで即座に対応しました。 苦情の申し立てにより、Spamhouseはこのオペレーターをブラックリストに紹介しました。 さらに、私たちから削除された苦情は、オペレータによって数か月間掛けられています（そしてまだハングしています）。 私たちはオペレーターのサポートと多くのことを話し、Spamhouseとのやり取りを転送し、私たちが良いことを証明し、そのような活動に従事していません。 最終的に、彼らは彼らから正式な応答を求める公式の手紙を受け取りました。 私たちは、違法行為に関与したことは一度もなかったし、今後もそれを行う予定はないと公式に回答しました。スパムハウスは国際的なサイバー詐欺の組織であり、ロシア連邦の領土には権力がありません。ロシア連邦については、Roskomnadzorからの対応書簡があり、彼らの行動は違法です。 彼らはすべてが正常であり、オペレーターの従業員がすでにこれを知っているという保証を受け取りましたが、この大げさな機会に私たちをブロックするつもりはありません。 もちろん、苦い経験から教えられた私たちは、別の大手連邦オペレーターTIER1と交渉し始めましたが、時間がありませんでした...

カルマ

当社では、遠隔地の従業員が多く、すべてを1か所に集めて通信することはできないため、従業員間の通信にはSlack（広告ではない）などの便利なチャットを使用しています。 そしてある晩、チャットで、他の顧客が苦しんでいる企業の利益を増やすために、小さなクライアントをブロックするかどうかの問題について議論しました。 技術 専門家は間違いなく文言でブロックしていた：

「はい、彼からは問題があるだけです。彼は単にLinuxの使い方を知らないので、ボットネットへの対処方法を学ばせます」

会社の責任者としての私の立場は明確でした。大小を問わず、どのクライアントでもかまいません。 彼は私たちにお金を持ってきたので、クライアントは私たちを信頼しています。 そして、これはあらゆるビジネスの基盤だと思います。 どの会社でも最も重要な人物は決して技術的な天才やディレクターではなく、会社を信じて苦労して稼いだルーブル、ドル、または元を持ってきた人です。 そして、ビジネス全体は顧客の上に構築され、彼らは最も重要な人々であり、顧客の問題を解決します-これが最も重要なことです。 組織にお金を持ち込む人がいなければ、プログラマ、システム管理者、ディレクター、秘書はいません。



しかし、気が散りました。 私の立場は、たとえ無料であっても、クライアントを助けることでした。 そして彼に基本的な安全の基本を教えてください。 そして、カルマはどこですか？ そして、大規模な連邦オペレーターはそうは思わなかったという事実にもかかわらず。 そして、文字通り、翌日、Sadovoyeの交通渋滞に立って、Slackのボットから、インフラストラクチャ全体がダウンしているという大量のメッセージを見ました（インフラストラクチャを制御するために、Zabbixを使用します。何が正確にどこに落ちたのか）。 私はすぐに質問でオペレーターのマネージャーにダイヤルしました：

「私たちをブロックしましたか？」

私は答えを受けました：

「いいえ、すべて順調です。ご注文は有効です。」

私はサポートプロバイダーに電話し、彼らはすべてが順調であることを保証しましたが、チケットを作成し、コールバックすることを約束しました。 もちろん、最初のケースと同様に、私たちには予備がありました。 そして、私たちからのアナウンスはバックアップチャンネルに送られ、すべてがうまくいくはずであるように見えました。 しかし、インターネットの半分は私たちを見ていませんでした。 マネージャーは電話をかけ直し、副社長の指示で私たちを個人的にブロックし、何もできないと言いました。 別のアップリンクを接続するために少なくとも数日は私たちに頼み、そこで彼は助けようとすることを約束しました。 しかし、疑問は残りました-なぜバックアップチャネルが非常に曲がって動作するのですか？



オペレーターが私たちにBGPセッションを入れたという事実に加えて、彼はまた、ASを使用して他のネットワークからのすべてのIPトランジットを完全にブロックしました。 つまり、オペレーターが参加したすべてのトラフィック交換ポイントは、ネットワークからのトラフィックを通過させませんでした。 そして、国内のトラフィックの半分はこのオペレーターを通過するため、国の半分と世界のほぼ半分は単に私たちを見ることができませんでした。 長い交渉の後、3日以内に新しいASを提供することを条件に、オペレーターはそれでもIPトランジットを復元しました。 しかし、この新しいASがネットワークのアナウンスを開始するとすぐに、SpamhouseからこのASへのエスカレーションをすぐに受け取ると思います。 したがって、私たちは現在、連邦オペレーターTIER1 No. 2への接続に集中的に取り組んでいます。

スパムハウスとは誰ですか？

さて、私は見出しに戻ります-サイバー犯罪との戦いで、まだ何百万人を作ることができますか。 Spamhausの非営利組織とは何か、その利益とプレッシャーの方法は何かという疑問について、多くの情報を調査しました。 私が出会った最も有能な記事はこちらです。



簡単に説明します。Spamhouseは詐欺師です（詳細はわかりません）。 もちろん、彼らは、スパムと戦うことを装って、中小のホスティング会社やインターネットサービスプロバイダーを共謀することで、恐exと暴行に従事しています。 彼らの「ビジネスモデル」とは何ですか？ はい、すべてが非常に簡単です-あなたはブラックリストに登録されており、そこから抜け出すことはほとんど不可能であり、彼らはあなたを上流に押し込み始め、Spamhouseに関連する会社からサービスのパッケージを購入することを強制します。



まあ、何が問題なのかと思われます-一部のトーマスはあなたをブラックリストに載せました。 問題は、多くの大規模なメールサービスや企業（記事の著者が書いているように、しばしばキックバック用）がSpamhouseのブラックリストを使用し、顧客からのメールがSpamhouseリストを使用する受信者に届かないことです。



多くの大規模なオペレーターは、長い間スパムハウスに対応していません。 たとえば、中国では、Spamhouseの責任者であるStephen John Linfordに対して逮捕状が発行されています。 スパムハウスは、一時的にトルコのラトビア、Googleネットワークを完全にブロックしましたが、中国ネットワーク全体をブロックしていましたが、beeline.ruはリストにある多くのRostelecomネットワークなどのスパマーウェブホスティングに他なりませんOVHなどの大規模な外国ホスティング会社。

次に何をするつもりですか？

概して、私たちには多くの選択肢はありません。 彼らが書いているように、彼らのネットワークをRIPEに持ち帰るか、彼らにお金を払って（さらに、あなたは絶えず支払う必要があります）、またはそれらを訴えます。 裁判所は彼らとうまく機能しません。 米国では、すでに多くの裁判所を失いましたが、裁判所がサイバー犯罪に乗っ取られ、米国の管轄権の対象ではないと発表しました。 もちろん、Zyuzino評議会の治安判事裁判所（私はこの美しい地区と治安判事に何も反対していません）に向かい 、ロシア連邦のサイトspamhaus.orgをブロックし、 pornhubのブロックを解除するリクエストで勝訴しようと試みることができますが、これがどのように影響するかは推測できません彼らのリストに。 一般的に、この問題は今日も未解決のままです。 しかし、この記事で私が言いたい最も重要なことは、詐欺師は、誰かがいわゆるブラックリスト、大規模連邦オペレーターであるTIER1を使用するまで、ホスティング会社とオペレーターを使用するということです。ネットワークと非常に多くのシステム管理者が依然としてスパムメールリストを使用してメールをフィルタリングしています！ コミュニティに質問したいのですが、2016年の電子メールのブラックリスト登録のポイントは何ですか？