Письмо с СБУ

[natiss 16]

Эти домены висят на виртуальном хостинге, где кроме них по 10-30 сайтов ещё дополнительно.

Поскольку netflow протокол не расчитан на логирование доменного имени, а только айпи-адреса, Вы потенциально можете оклеветать рядового пользователя.

ИМХО, запрос составлен крайне неграмотно, user-agent со стороны хостера (hetzner) стоит запрашивать, а ключи фильтрации таковы - что результат выборки можна обрабатывать годами в масштабах Украины.

А толку от знания юзер-агента? Ну что это даст? Как при Сталине, расстрелять всех , у кого Firefox 5.0, и, для надежностии, в лагеря всех, у кого ядро Gesko? А шпиьоён просто изменил агент в опере...

В догонку, а как грамотно составить запрос?

[ESP 7]

Эти домены висят на виртуальном хостинге, где кроме них по 10-30 сайтов ещё дополнительно.

Поскольку netflow протокол не расчитан на логирование доменного имени, а только айпи-адреса, Вы потенциально можете оклеветать рядового пользователя.

ИМХО, запрос составлен крайне неграмотно, user-agent со стороны хостера (hetzner) стоит запрашивать, а ключи фильтрации таковы - что результат выборки можна обрабатывать годами в масштабах Украины.

А толку от знания юзер-агента? Ну что это даст? Как при Сталине, расстрелять всех , у кого Firefox 5.0, и, для надежностии, в лагеря всех, у кого ядро Gesko? А шпиьоён просто изменил агент в опере...

В догонку, а как грамотно составить запрос?

 

Зря пенитесь, я же написал:

ключи фильтрации таковы - что результат выборки можна обрабатывать годами в масштабах Украины.

User-Agent провайдер теоретически держать не может, разве что дампить трафик (но тогда копираты по судам затаскают). А вот хостеры логировать любят, им проще.

 

Касательно правильного составления запроса - Вы что первое письмо получаете от СБУ?

Обычно это точное время инцидента, адрес dst по отношению к которому были проведены действия.

[natiss 16]

Касательно правильного составления запроса - Вы что первое письмо получаете от СБУ?

Обычно это точное время инцидента, адрес dst по отношению к которому были проведены действия.

Вы согласны, что src адрес у них тоже есть? Если да, то предположив отсутствие NAT, хаотичной динамики и т.п., верно, что никакие провйдерские логи то и не нужны, да?

Если адреса распределяются хаотично, то задача преобразования интернет-адреса в конечного абонента не решаема.

А теперь 2 вопроса:

1) вас заставляют сопоставлять IP (или логин туннельного интерфейса, или логин для веб-авторизации etc) с конкретным абонентом?

2) (релятивный от ответа на в.1 и изложенных выше мыслей, обвернутый в более простую форму)

От чего больше пользы:

а) от козла при получении молока

б) от netflow-логов провайдера при поисках киберпресптупника?

[Гайджин 574]

От чего больше пользы:

а) от козла при получении молока

б) от netflow-логов провайдера при поисках киберпресптупника?

Ответ: Б.

[natiss 16]

Мне кажется, что уровень пользы в общем случае одинаков.

[Гайджин 574]

Мне кажется, что уровень пользы в общем случае одинаков.

При определенных раскладах Б способен дать 100% результат.

[ESP 7]

Касательно правильного составления запроса - Вы что первое письмо получаете от СБУ?

Обычно это точное время инцидента, адрес dst по отношению к которому были проведены действия.

Вы согласны, что src адрес у них тоже есть? Если да, то предположив отсутствие NAT, хаотичной динамики и т.п., верно, что никакие провйдерские логи то и не нужны, да?

Если адреса распределяются хаотично, то задача преобразования интернет-адреса в конечного абонента не решаема.

А теперь 2 вопроса:

1) вас заставляют сопоставлять IP (или логин туннельного интерфейса, или логин для веб-авторизации etc) с конкретным абонентом?

2) (релятивный от ответа на в.1 и изложенных выше мыслей, обвернутый в более простую форму)

От чего больше пользы:

а) от козла при получении молока

б) от netflow-логов провайдера при поисках киберпресптупника?

 

Что значит не решаема? На каком уровне задача не решаема?

Чем нетфлоу-логи помогут в установлении того факта, что пользователь действительно зашел именно на запрещённый сайт висящий на виртуальном хосте среди десятка прочих "скрывающихся" под 1 айпи?

 

Я за отчет двумя руками, но с более конкретными параметрами.

[nickolayenko 5]

мне принесли тоже, только указали конкретный айпишник и время когда он что то там "творил"

печати нет, только подпись, исходящий номер запроса и номер дела.

Удивило то, что дело 2010 года...

[natiss 16]

Что значит не решаема? На каком уровне задача не решаема?

Если в сети нет привязки IP-абонент, задача становится не решаемой.

Вы скажаете "ТА КАК ЭТО ТАК, НЕТ ПРИВЯЗКИ????"

А я отвечу - РРРоЕ, DHCP etc. Например есть привязка к логину или MAC. Вот тут надо поднимать логи радиуса или дхсп-сервера.

Но вот каким боком тут нетфлоу, я не понимаю.

Если идет речь о посетиле сайта газенваген.де с юзерагентом годззила, то такая задача не решаема даже с вашим любимым нетфлоу. Да, 99,9999999%, что никто другой в это же время не полезет на этот зачуханный недохост, да и практика 1000500 сайтов на одном айпи у фашистов не популярна, но всё же ТЗ поставлено не корректно.

Идем дальше, что вы можете высосать из провайдера, кроме IP? Вы дадите 100% гарантии, что этот адрес привязан к конкретному порту в конкретное время и что продал родину именно абонент вася пупкин из 3-го дома строителей кв. 28? Ваши логи имеют вес, как доказательство в суде? Нотариально заверенный скриншот в студию.

Приедет спецназ брать террорирста, а там бабушка - Божий одуванчик на квартире - ничего не знаю сынки. Какие действия?

Я клоню к тому, что это всё полный бред, пережёвывание соплей, перекладывание из пустого в порожнее, растягивание кота за хвост и т.п. ерунда. Никаких реальных мероприятий для реальной борббы с киберппреступностью нет, к сожалению, и врядли предвидятся.

[natiss 16]

Мне кажется, что уровень пользы в общем случае одинаков.

При определенных раскладах Б способен дать 100% результат.

Разве что если 9 планет выстроятся в одну линию и при этом еще симфонический концерт раков насвистит марсельезу.

IP на лбу не написан. Как говорят в харькове, "миша, всё фигня..."

Edited 2012-03-03 19:39:01 by natiss

[ESP 7]

Что значит не решаема? На каком уровне задача не решаема?

Если в сети нет привязки IP-абонент, задача становится не решаемой.

Вы скажаете "ТА КАК ЭТО ТАК, НЕТ ПРИВЯЗКИ????"

А я отвечу - РРРоЕ, DHCP etc. Например есть привязка к логину или MAC. Вот тут надо поднимать логи радиуса или дхсп-сервера.

Но вот каким боком тут нетфлоу, я не понимаю.

Если идет речь о посетиле сайта газенваген.де с юзерагентом годззила, то такая задача не решаема даже с вашим любимым нетфлоу. Да, 99,9999999%, что никто другой в это же время не полезет на этот зачуханный недохост, да и практика 1000500 сайтов на одном айпи у фашистов не популярна, но всё же ТЗ поставлено не корректно.

Идем дальше, что вы можете высосать из провайдера, кроме IP? Вы дадите 100% гарантии, что этот адрес привязан к конкретному порту в конкретное время и что продал родину именно абонент вася пупкин из 3-го дома строителей кв. 28? Ваши логи имеют вес, как доказательство в суде? Нотариально заверенный скриншот в студию.

Приедет спецназ брать террорирста, а там бабушка - Божий одуванчик на квартире - ничего не знаю сынки. Какие действия?

Я клоню к тому, что это всё полный бред, пережёвывание соплей, перекладывание из пустого в порожнее, растягивание кота за хвост и т.п. ерунда. Никаких реальных мероприятий для реальной борббы с киберппреступностью нет, к сожалению, и врядли предвидятся.

 

Ну Вы даёте! О чем мы спорим тут пол дня? Мы по одну сторону барикад, вчитайтесь о чем я писал с самого начала.

Но все же Ваша критика хромает - она должна быть конструктивной, ибо с таким подходом(все действия безполезны) Украина и дальше будет оставатся "покращеной" страной.

 

 

PS: По законодательству Вы должны хранить таймстампы с адреса пользовательской сесси. Так что не получится отвертется.

[ramsess 187]

По какому законодательству ? Что такое пользовательская сессия в этом законодательсве ? Здается мне что вы ведете речь о телефонии.

[Sanito 129]

Разве что если 9 планет выстроятся в одну линию и при этом еще симфонический концерт раков насвистит марсельезу.

Честно говоря, немного напрягся. Сидел и думал, при чем тут "девятый Planet", одна линия и концерт.

Показалось что это наезд на Planet, его свитчи и т.п.....

Вывод: надо меньше работать и больше отдыхать.

[ESP 7]

По какому законодательству ? Что такое пользовательская сессия в этом законодательсве ? Здается мне что вы ведете речь о телефонии.

Ну в таком случае вместо даных храните 1-2 кило баксов.

[ramsess 187]

А почему не мегабаксов ? Гулять - так гулять!

[Sergek 123]

В процессе данной дискусси таки блещит украинская ментальность. А нах оно надо, а мне пофик. Моя хата скраю.

Нет я не хочу сказать, что нужно вот так сразу всем кому не попадя выдавать инфу.

Посмотрим в другой плоскости. Не дай бог конечно, но против вас или вашего семейства совершено преступление с использованием сети интернет.

И следствие уперлось в невозможность получить информацию о преступнике от конкретного ISР. Я думаю вы будете очень растроены за такого ISP.

Пусть даже в процессе разбора нетфлоу обнаружится 20 человек посещавших этот ресурс, да хоть 50 дальше уже не ваше дело, пусть ходят и работают дальше, а вы свое дело сделали верно.

[Гайджин 574]

Пусть даже в процессе разбора нетфлоу обнаружится 20 человек посещавших этот ресурс, да хоть 50 дальше уже не ваше дело, пусть ходят и работают дальше, а вы свое дело сделали верно.

Беда в том, что для того что бы Вы сделали свое дело верно, все остальные тоже дольжны сделать все верно. - А вот с этим как раз проблеммы.

[natiss 16]

Разве что если 9 планет выстроятся в одну линию и при этом еще симфонический концерт раков насвистит марсельезу.

Честно говоря, немного напрягся. Сидел и думал, при чем тут "девятый Planet", одна линия и концерт.

Показалось что это наезд на Planet, его свитчи и т.п.....

Вывод: надо меньше работать и больше отдыхать.

Извиняюсь, уже засыпал, имел в виду "симфонический оркестр"

[natiss 16]

В процессе данной дискусси таки блещит украинская ментальность. А нах оно надо, а мне пофик. Моя хата скраю.

Нет я не хочу сказать, что нужно вот так сразу всем кому не попадя выдавать инфу.

Посмотрим в другой плоскости. Не дай бог конечно, но против вас или вашего семейства совершено преступление с использованием сети интернет.

И следствие уперлось в невозможность получить информацию о преступнике от конкретного ISР. Я думаю вы будете очень растроены за такого ISP.

Пусть даже в процессе разбора нетфлоу обнаружится 20 человек посещавших этот ресурс, да хоть 50 дальше уже не ваше дело, пусть ходят и работают дальше, а вы свое дело сделали верно.

Да ведь дело в том, что IP на лбу не написан. Лог нетфлоу - не доказательство. Точно также, как номер сотового телефона не позволяет идентифицировать говорящего.

ISP не может анализирвоать гигабиты трафика. Да, ситуация неприятная, но для того, чтобы можно было точно сопоставить человека с IP надо целый комплекс мер. Так, как это делается в Украине сейчас, в реалиях 100-ки за окурок.... ну тут вообще надо сказать ISP спасибо, что еще живы.

[natiss 16]

PS: По законодательству Вы должны хранить таймстампы с адреса пользовательской сесси. Так что не получится отвертется.

Процитируйте закон. Дайте определение сессии и таймстампа.

Логи с IP и временем у них и так есть со стороны потерпевшего. С вашей стороны эти логи совершенно бесполезны, если не сипользуется NAT. От вас требуется сопоставить их с конкретной ФИО, а где сказано в законе о обязательности такого действия? Да, есть такой IP, но у нас же гигабит за рупчик, - скажет такой провайдер, - поэтому все (имеют скорость по физике порта и платят абонплату 1 грн/месяц, должников выключаем гася порт) получают адреса автоматом...

[ESP 7]

PS: По законодательству Вы должны хранить таймстампы с адреса пользовательской сесси. Так что не получится отвертется.

Процитируйте закон. Дайте определение сессии и таймстампа.

Логи с IP и временем у них и так есть со стороны потерпевшего. С вашей стороны эти логи совершенно бесполезны, если не сипользуется NAT. От вас требуется сопоставить их с конкретной ФИО, а где сказано в законе о обязательности такого действия? Да, есть такой IP, но у нас же гигабит за рупчик, - скажет такой провайдер, - поэтому все (имеют скорость по физике порта и платят абонплату 1 грн/месяц, должников выключаем гася порт) получают адреса автоматом...

 

Прочтите закон сами.

Дело не в потерпевшем, в а том что их колличество может рости (детей-дибилов полно). Опять же судя по специфике сайтов. И все мы прекрасно понимаем сколько десятков способов закрытия нелегального ресурса есть. Но нет, надо было выбрать самый "дубовый" способ.

 

Здесь Вы можете писать что угодно, но надежно оперется на "правовую плоскость" Вы не сможете. Ни сегодня, ни завтра, до того времени пока совковый менталитет не пройдет. Захотят - нагнут, пардон за выражение.

[Wild 3]

Пришло письмо, в котором просят предоставить инфу посещавших сайты о пиротехники. Но мы не сохраняем логи. Что им ответить? Мол никто не посещал эти ресурсы?

Казуистика - хорошая разминка для ума.

Скажите что в ваших логах информации о подобных посещениях нет.

Это ведь правда?