Три сообщения, один час и решение сделать заметку
Ночная проверка трех сообщений Telegram, которые имели смысл только как сигнал о переходе, если читать их вместе: ошибки 403, предполагаемая утечка исходного IP-адреса и срок действия контракта, истекающий в следующем месяце.
В 02:17 я пролистывал список групп Telegram снизу вверх.
В этот час еще загорающиеся группы везут дежурных. Сообщений меньше, чем днем, но плотность информации в каждом сообщении сильно колеблется: некоторые из них представляют собой реальные происшествия, другие, вероятно, принадлежат кому-то наедине со своими мыслями и телефоном.
Той ночью я увидел три сообщения в одной и той же технической дискуссионной группе, все в течение получаса. Ниже приведен иллюстративный составной групповой разговор Telegram, показывающий, как выглядела тема:
Zhou (02:03): Снова получаю 403. Тот же URL, третий раз за сегодня. Также происходит на мобильном телефоне.
Li Lei (02:11): Я запустил трассировку вашего домена, и в конце появился IP-адрес. Это ваш исходный сервер, не так ли?
Zhou (02:17): Да. Контракт истекает в следующем месяце. Босс хочет рассмотреть другие варианты.
Три человека, три сообщения. Чжоу сообщает о проблеме, Ли Лэй помогает устранить неполадки, а Чжоу добавляет пустую фразу о контракте.
Я не действовал сразу. Не потому, что мне это не было интересно, а потому, что каждое сообщение, взятое само по себе, могло означать что-то совершенно разное. Мне нужно было решить, указывают ли они на одно и то же, когда их помещают вместе.
Тот, который я отложил первым: «Снова получить 403»
403 — это код состояния HTTP, который означает, что сервер отклонил запрос. В повседневной работе CDN (сеть доставки контента — система, которая кэширует контент веб-сайта на серверах, близких к пользователям, чтобы ускорить время загрузки) и WAF (брандмауэр веб-приложений — уровень безопасности, который проверяет и блокирует вредоносные запросы) это одна из наиболее распространенных ошибок.
Чжоу сказал «снова 403» и «в третий раз сегодня». Это звучит повторяюще. Но само по себе повторение не говорит мне, на каком уровне находится проблема:
- Если правило WAF настроено слишком агрессивно (скажем, ограничение скорости на определенной конечной точке слишком низкое), законные запросы блокируются. Это можно исправить, изменив правило. К стабильности платформы провайдера это не имеет никакого отношения.
- Если в это время на сайт Чжоу поступал трафик сканирования или атаки, WAF, блокирующий эти запросы, ведет себя правильно. В этом случае 403 означает, что защита работает.
- Другая возможность: номер 403 поступает из сети офиса Чжоу — общедоступный IP-адрес, который его компания использует для выхода в Интернет, возможно, был добавлен в черный список вышестоящим оператором связи. Запрос так и не достиг границы CDN. Смена провайдера этого не изменит.
Таким образом, по одному только «403 снова» я не мог сказать, была ли это проблема среды, явление, вызванное атакующим трафиком, или неправильная конфигурация платформы провайдера.
Сообщение заслуживало внимания, но его вес был невелик.
Тот, который заставил меня задуматься: «Утечка IP-адреса Origin»
Сообщение Ли Лея заставило меня прочитать его внимательнее.
Tracert — это инструмент отслеживания маршрутов, который показывает, сколько промежуточных переходов проходит между вашим компьютером и целевым сервером. В обычной архитектуре CDN пользовательские запросы сначала достигают пограничных узлов CDN, а эти узлы извлекают контент с исходного сервера. Реальный IP-адрес исходного сервера никогда не должен появляться в трассировке маршрута — одна из основных задач CDN — скрыть исходный адрес, чтобы злоумышленники не могли нацелиться на него напрямую.
Ли Лэй сказал, что IP-адрес «появился». Если этот IP-адрес действительно был адресом исходного сервера Чжоу, к этому сигналу стоит отнестись серьезно.
Но существует уровень двусмысленности, который необходимо проверить: видел ли IP-адрес Ли Лей настоящий исходный сервер, или это был промежуточный узел CDN, адрес которого оказался в конце трассировки? Некоторые провайдеры CDN назначают IP-адреса узлов среднего уровня в том же диапазоне, что и исходный IP-адрес, и инструменты маршрутизации не могут надежно отличить их друг от друга. Чтобы подтвердить это, вам нужно будет увидеть полный результат трассировки, который получил Ли Лэй — снимок экрана последних нескольких прыжков с проверенным владением IP-адресом.
Тем не менее, тот факт, что Ли Лэй сказал: «Это ваш исходный сервер, не так ли», означает, что он проводил более глубокое расследование, чем просто обновление страницы. Он проводил тесты.
Самый хитрый: «Контракт заканчивается в следующем месяце»
Если бы в ветке были только первые два сообщения — ошибка 403 плюс расследование Ли Лея, — я бы поместил его в раздел «возможная проблема с архитектурой, ожидаю технического подтверждения» и пошел бы дальше.
Но Чжоу добавил, что его босс хочет рассмотреть другие варианты.
Это предложение требует осторожного обращения. Почти в каждой технологической группе есть люди, которые каждую неделю говорят: «Я перейду, когда закончится контракт», и многие из них на самом деле не переходят. Для специалиста, занимающегося предпродажной деятельностью, рассматривать «истечение срока действия контракта» как эквивалент «соответствующей деловой возможности» — это легкая ошибка в суждении: человек мог сказать это в отчаянии, а затем продлить контракт, как только проблема была решена.
Но в контексте этой темы — кто-то нажимает на повторяющуюся ошибку 403, кто-то другой расследует то, что выглядело как проблема на уровне архитектуры — предложение сместило тему с «технического инцидента» на «инцидент, который может привести к появлению бизнес-возможностей и к решению о закупках».
Размер окна определяет, стоит ли это моего времени. Предположим, что срок действия контракта с компанией Чжоу истекает 1-го числа следующего месяца, и для непродления контракта требуется письменное уведомление за 30 дней. С сегодняшнего дня, возможно, осталось всего несколько дней. Миграция CDN включает в себя переключение записей DNS, повторное развертывание сертификатов TLS, перенос политик WAF на новую платформу и разогрев кешей — по крайней мере, одна-две недели от подготовки до выполнения. Если окно слишком короткое, даже искренний интерес не оставит достаточно времени для действий.
Но этот пробел невозможно заполнить из группового чата — точную дату знают только Чжоу и его начальник.
Записка, которую я написал в 03:30, в трёх строках
К 03:30 я не ответил ни на одно сообщение в группе. Не из-за лени — соотношение риска и вознаграждения в ответах на этом этапе было однобоким. Если бы я вмешался с чем-то вроде «наш WAF не стал бы этого делать», я бы не помог в устранении неполадок и выглядел бы как человек, ищущий возможности для бизнеса. Как только специалист по предпродажной подготовке производит впечатление, что он присутствует в публичной группе в первую очередь, вернуться к реальному техническому разговору становится сложнее.
Я написал заметку в своих заметках, в которой нужно проверить три пункта:
Группа: Техническое обсуждение CDN. Хронология 02:03–02:17. Сообщения: Чжоу с повторяющимся номером 403 + трассировочный сертификат Ли Лея, показывающий предполагаемый раскрытый IP-адрес происхождения + Чжоу, упоминающий об истечении срока действия контракта в следующем месяце.
Чтобы проверить 1: журналы блокировки WAF для ошибок 403 — содержат ли они идентификатор правила? Это говорит нам, было ли это ложное срабатывание или законная блокировка во время атаки.
Для проверки 2: снимок экрана с полной трассировкой маршрута Ли Лея — чтобы подтвердить, действительно ли IP-адрес был исходным сервером или промежуточным узлом CDN.
Чтобы проверить 3: Фактический срок продления контракта Чжоу — чтобы увидеть, достаточно ли широко окно для смены провайдера.
Не обращайтесь заранее. Подождите, пока кто-нибудь из группы опубликует более конкретные журналы ошибок или подробности контракта, а затем найдите точку входа.
Эта записка не была отслеживаемой возможностью. Это был не первый этап цикла продаж. Это был приоритетный ориентир для того, как я буду организовывать свой заказ на аутрич-работу на следующий день.
Логика дневного света: если какой-либо из трех пунктов терпит неудачу, вычеркните его
Когда наступило утро, моя логика обработки этой записки была простой: три пункта, которые нужно проверить. Если какой-то из них указывал в противоположном направлении, всю нить уже не стоило отслеживать.
Если ошибка 403 была законной блокировкой во время атаки (для проверки 1 ответа «блокировка была правильной»), то WAF не был неправильно настроен и проблема была не на стороне провайдера. Никакого миграционного мотива.
Если IP-адрес, который увидел Ли Лэй, не был фактическим исходным сервером (для проверки двух ответов «неправильная идентификация»), то архитектура не была раскрыта. Остальные два факта — 403 и истечение срока действия контракта — были изолированными фрагментами, которые не входили в предпосылку миграции.
Если фактическое контрактное окно Чжоу составляло всего несколько дней (чтобы проверить 3 ответа «недостаточно времени»), то даже если бы первые два условия выполнялись, не было достаточной взлетно-посадочной полосы для надлежащего процесса закупок и миграции.
Все три проверки должны были пройти, прежде чем я потратил время на изучение материалов по продукту и справочных примеров, чтобы подготовить возможные темы для начала разговора. До тех пор это была просто записка, ожидающая проверки.
Одна и та же ветка с другими условиями — скажем, Чжоу, публикующий сообщение о 403-х сообщениях без ответа, или расследование Ли Лея, опубликованное без какого-либо упоминания о дате контракта, или кто-то, упоминающий об истечении срока действия контракта с нулевыми техническими отчетами, — не заработал бы даже тех 30 секунд, которые потребовались для написания этой заметки.
Сигнал не подтверждается тем, насколько он на него похож. Это то, что остается после того, как исключен ряд более простых объяснений.
Я не ответил в 3 часа ночи не потому, что мне нечего было сказать.
Суть всего этого не в том, «как определить, собирается ли клиент сменить поставщика услуг» — этот вопрос принадлежит точке зрения покупателя. Моя работа как специалиста по предпродажной подготовке заключается в том, чтобы оценить, имеет ли разговор, происходящий в общедоступной группе Telegram, структуру, достойную проверки.
«Снова получить 403» — это просто аномалия инструмента. «Я видел исходный IP» — это техническое расследование. «Контракт заканчивается в следующем месяце» — возможный график принятия решения. Только когда все трое появляются в одной теме, «написать заметку» становится разумным шагом. Но каждую часть, взятую отдельно, можно объяснить чем-то более простым.
Та же тема: один человек видит, что «они кажутся недовольными», и бросается спрашивать. Другой человек видит: «Мне нужно подтвердить три факта, прежде чем принять решение о переезде». Оба подхода занимают примерно одинаковое время — 30 секунд на написание заметки. Разница в том, куда уходит энергия после этого.
Как обнаруживается Signal, заслуживающий внимания
Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.
