Lo bueno de los atacantes persistentes es que su comportamiento es consistente y repetido, a través del cual puede establecer un patrón que luego conduce a una identidad.
Es posible ser completamente anónimo en Internet, pero la forma única de hacerlo es evitar establecer un patrón y evitar comportamientos que puedan correlacionarse, analizarse y, finalmente, ser destilados para encontrar su característica común: usted. Así es como y por qué los hackers son atrapados; no se quedan en silencio.
Entonces, si el objetivo común es tu foro, entonces utilizas el foro para encontrar los factores comunes en el ataque. Ya tiene un comportamiento criminal (pornografía infantil y amenazas de muerte) que es suficiente para que la policía se involucre activamente. Eso ayuda a recopilar datos que de otra forma serían inaccesibles.
El siguiente paso es comenzar a bloquear las rutas de acceso que no se pueden rastrear. Suponiendo que esto no afecte de manera adversa a sus otros usuarios, puede bloquear los nodos de salida de TOR, los proxies anónimos que se conocen, etc., hasta que las únicas rutas que quedan a su servidor sean las que pueda rastrear la policía.
Obviamente, esto puede afectar a sus usuarios legítimos, por lo que es posible que desee aplicar solo estas restricciones para publicar mensajes o nuevos registros de usuarios.
A continuación, comienza el seguimiento de clientes potenciales; Cuando recibes tráfico relevante, verificas su origen. ¿Vino de un servidor web pirateado? Si es así, póngase en contacto con el administrador del sitio para informar sobre la intrusión y averiguar si están manteniendo registros. Muchos administradores estarán más que dispuestos a entregar los registros de actores maliciosos, ya que estarán tan enojados como usted.
Los sitios como domaintools.com son sorprendentemente útiles para determinar quién está involucrado con una IP determinada, qué sitios están alojados allí, quién es el propietario o quién fue, etc. A GeoIP searchup ayudará a determinar con mayor precisión si las direcciones IP se encuentran físicamente cerca unas de otras.
Eventualmente empiezas a ver cómo se desarrollan los patrones. Usted se da cuenta de que solo publica durante una ventana dada de 5 horas (lo que probablemente corresponde a la noche en la que se encuentra), y mientras transmite su conexión a través de otros servidores, la propiedad intelectual original suele ser cafeterías en una sola ciudad. Él usa Firefox en OSX. Pequeños detalles que pueden ser útiles.
Cuanta más información tenga, más información le pueda dar a la policía, más probable será que realmente lo identifiquen.
O eso o deja de publicar y el camino se vuelve frío. En ambos sentidos, usted gana.