Ondanks het het convenant tussen Nederlandse providers om botnets aan te pakken, weten ISPs slechts tien procent van de besmette machines op hun eigen netwerk te bereiken. Toch is dat veel beter dan wat buitenlandse providers laten zien, dat zei Michel van Eeten tijdens het Govcert symposium in Rotterdam. Uit onderzoek blijkt dat de helft van alle bots bij 50 internetproviders in de wereld is ondergebracht. Het gaat dan alleen om bekende, grote providers en niet om schimmige access providers die vanuit bijvoorbeeld Oost-Europa opereren. Volgens Van Eeten is dit goed nieuws, omdat het botnetprobleem dus via vijftig aanbieders is aan te pakken, die open staan voor samenwerking.

Eindgebruikers
Van Eeten merkte op dat de rol van internetproviders veel belangrijker is geworden, nu veel beveiligers de eindgebruiker hebben opgegeven. Er wordt inmiddels vanuit gegaan dat eindgebruikers besmet raken. De afgelopen jaren zijn er verschillende initiatieven geweest om besmette machines te identificeren en consumenten te waarschuwen dat ze besmet zijn. Daarbij zijn brieven de beste methode, zo blijkt uit onderzoek. Aan de andere kant zijn maatregelen en campagnes om gebruikers te onderwijzen maar deels effectief.

Er wordt altijd vanuit gegaan dat internetproviders het ideale controlepunt zijn, maar er was nooit onderzocht hoeveel bots nu werkelijk bij ISPs zijn ondergebracht. En als je je op ISPs richt, welke ISPs presteren dan het slechtst. Het onderzoek liet zien dat de grootste providers in de 40 grootste industriële landen de meeste besmette machines hebben. Dat biedt perspectief om het probleem op te lossen, althans ervan uitgaande dat providers de middelen hebben om bots en botnets aan te pakken. De markt voor providers staat onder druk, met steeds kleinere marges.

Het onderzoek gebruikte als basis drie databronnen. De eerste bron was een spamtrap met 67 miljoen IP-adressen. De tweede bron was Dshield data bestaande uit 130 miljoen adressen. Als laatste had men nog een database met 169 miljoen adressen van Conficker sinkholes. Vervolgens werd er naar de locatie en bijbehorende provider gekeken.

Uiteindelijk ging het om iets meer dan tweehonderd providers, die bij elkaar 90% van het marktaandeel in de veertig grootste industriële landen hebben. Verder werd er naar het aantal abonnees van de providers gekeken. Opmerkelijk genoeg was er weinig overlap tussen de drie databronnen. Slechts 12% van de besmette machines kwam ook in een andere databron voor. Verder bleek dat bekende internetproviders 80% van de besmette machines in de veertig onderzochte landen beheren. De overige 20% zijn hostingproviders en academische netwerken.

Compact probleem
Van Eeten en zijn team ontdekten uiteindelijk dat 50 internetproviders voor de helft van alle besmette machines verantwoordelijk zijn. Een belangrijk gegeven, omdat niemand weet hoeveel providers er op het web zijn. "We hebben het over tienduizenden organisaties", aldus Van Eeten. Door aan te tonen dat het om zo'n kleine groep gaat, is het volgens de onderzoeker een stuk eenvoudiger om het probleem aan te pakken.

Welke partijen het zijn wil Van Eeten niet zeggen. Ondanks dat het om providers gaat die iedereen kent, wordt er in de pers vaak over "rogue providers" gesproken. Daar blijken nauwelijks besmette machines te zitten. "De enige reden dat we hierover praten, is omdat daar de command & controle servers zitten", zo liet de onderzoeker weten.

Een ander punt uit het onderzoek toont aan dat er een groot verschil tussen de providers zit. 31 ISPs zitten al vier jaar in de Top 50 van meest besmette machines. Twintig providers komen zelfs in alle drie de databronnen terug.

Nederland
De onderzoeker ontdekte ook dat zelfs goede ISPs alleen een klein deel van de bots in hun netwerk weten aan te pakken. Nederlandse providers, ondanks dat er een speciaal convenant is om botnets aan te pakken, scoren slechts tien procent. Veel beter dan andere landen, maar het geeft aan dat er nog veel ruimte voor verbetering is.

In tegenstelling tot wat veel mensen denken, doen grote providers het beter in het bestrijden van botnets dan kleine providers. En dat is opmerkelijk, want er werd altijd gedacht dat grote providers te groot waren om geblokkeerd te worden en daardoor niet hun best deden om een schoon netwerk te krijgen.

kabel ISPs doen het weer iets beter dan ADSL-providers. Dat heeft volgens Van Eeten met de automatisering van het netwerk te maken, dat tussen beide partijen verschillend is. Ongeacht of het nu ADSL of kabel is, providers kunnen iets doen om botnets te bestrijden, zo concludeerde hij. In december verschijnt een rapport van de Nederlandse markt, maar ook nu zal de onderzoeker geen namen geven.