Expert: ISP moet besmette computers deels afsluiten
Internetproviders moeten de computers van klanten die met malware besmet zijn in quarantaine plaatsen en deels van het internet afsluiten totdat het probleem is opgelost. Daarvoor pleit malware-expert Rik Ferguson van het Japanse anti-virusbedrijf Trend Micro.
Verhalen in de media over grootschalige uitbraken of acties tegen botnets worden volgens Ferguson snel door het publiek vergeten. In plaats van maatregelen te nemen blijven besmette computers daardoor besmet. Daarnaast kunnen alle nieuwsberichten over data-inbraken en lekken ook voor "waarschuwingsmoeheid" zorgen.
"Inbraak na inbraak en dataverlies na dataverlies zorgen ervoor dat het nieuws en de mensen het niets meer kan schelen, als het ze al in de eerste plaats was opgevallen", merkt Ferguson op. De expert vindt dat providers alle informatie van beveiligingsbedrijven en onderzoekers zouden moeten gebruiken om besmette systemen op hun eigen netwerk te identificeren.
"Die systemen moeten in quarantaine worden geplaatst, de eigenaar moet worden ingelicht en gewezen op middelen waarmee hij het probleem kan oplossen", stelt Ferguson. Totdat het probleem ook daadwerkelijk is opgelost moet de internettoegang van de gebruiker worden beperkt. "Als het je niets kan schelen zal ervoor worden gezorgd dat het je toch kan schelen."
APK-controle
Ferguson ziet vergelijkingen met de autowereld, waar auto's jaarlijks worden gecontroleerd. Als ze de APK-controle niet doorkomen, mogen ze niet de weg op omdat ze een gevaar voor de bestuurder en andere weggebruikers zijn. "Wanhopige tijden vragen om wanhopige maatregelen", besluit de expert zijn pleidooi.
Misschien andere ISP's ook, maar dat weet ik niet.
Helpdesk: de computer maakt geen fouten! Dus u zult wel besmet zijn.
Na een dag weer online, zonder enige aankondiging of excuus.
(de lookup werd getriggerd door een blog over een botnet, waar dat adres op stond en de browser die zelfstandig dns-entries ging pre-fetchen, duurde even voor ik daar achter was...)
Kan je vertellen dat ik me behoorlijk gecensureerd voelde dat ik - als security-expert die zijn zaakjes aardig op orde heeft - blijkbaar geen blogs meer mag lezen over de takedown van een botnet....
Kan je vertellen dat ik me behoorlijk gecensureerd voelde dat ik - als security-expert die zijn zaakjes aardig op orde heeft - blijkbaar geen blogs meer mag lezen over de takedown van een botnet....
Nou als je als security expert een pre-fetch optie in een browser niet meteen uitschakelt dan weet ik nog niet zo net hoe
je zaakjes op orde zijn. Dit soort dingen heeft een duidelijk security impact, dat zou je moeten weten.
Komt nog bij dat om dit mogelijk te maken men vrij snel naar deep package inspection zal moeten grijpen, wat neerkomt op een massale privacy invasie, waar al vrij snel wat extra 'opties' aan toegevoegd wordt om ander onwelgevallig verkeer tegen te houden.
Ik stel zelf voor gebruikers te onderwijzen, gewoon melden dat ze een virus hebben en dat ze die moeten opruimen, desnoods met wat extra verwijzingen naar een goede virusscanner of ander verwijder tool. Iets van "give a man a fish and you feed him for a day; teach a man to fish and you feed him for a lifetime". (Ik weet even niet de Nederlandse equivalent van dat spreekwoord).
Vrij zeker dat HTTP gewoon poort 80 is en HTTPS poort 443. Kortom, vraag me af hoe stukje bij beetje het internet afgesloten word.
Daarbij is het ook niet echt moeilijk om te detecteren, als jou PC constant verbinding aan het zoeken is met een C&C server dan valt dat redelijk op en kun je geredirect worden naar een pagina van de provider welke het je duidelijk maakt dat je mogelijk geinfecteerd bent.
Wat maakt het nu uit of het verkeer gemaskeerd is? Zolang als er regelmatig verkeer is naar een C&C-server kun je er redelijk zeker van zijn dat het om een zombie gaat en het verkeer blokkeren.
Daarom moet je zoiets ook afdwingen via regelgeving. Op die manier hebben providers niet het probleem dat klanten weglopen naar een provider die dit niet doet, en providers kunnen dan concurreren door dit op een zo gebruikersvriendelijke wijze te doen (goede tools om te helpen met het identificeren en verwijderen van de gedetecteerde bedreiging).
"Sluit het dan ook gelijk af bij de overheidsinstantie `s waarvan klantgegevens op straat komen te liggen, vaak genoeg gebeurd."
Tja, ook dat is een probleem. Al gaat dat natuurlijk moeilijk, tenzij het gevolg is van een malware besmetting welke kan worden gedetecteerd. Je kan moeilijk een instantie afsluiten omdat ze morgen gehacked gaan worden, dit is immers info waarover je niet beschikt.
Verder heeft dat vrij weinig te maken met de vraag of er een banking trojan op jouw PC staat, waarmee bijvoorbeeld jouw bankrekening kan worden geplunderd.
Wat dat betreft lijkt het afsluiten mij alleen maar goed, ter bescherming van de klant, en van derden indien jouw systeem anderen aanvalt.
"Hmm, artikel uit 2009. http://securitywatch.pcmag.com/e-mail/284372-dutch-isps-sign-anti-botnet-treaty"
Veel ISP's in Nederland, die zich daarbij hebben aangesloten, doen dit dan ook al jaren.
Veel ISP's in Nederland, die zich daarbij hebben aangesloten, doen dit dan ook al jaren.
Let op! Dit is geen nieuwtje of nieuwe suggestie, het is gewoon een reclameboodschap. Het gaat niet om het verhaal
maar om de naam Trend Micro.
Persoonlijk vind ik dat Trend Micro de tijd beter zou kunnen besteden aan het beter maken van hun product, zodat het
bijvoorbeeld niet veel meer CPU en netwerkbandbreedte gebruikt dan de concurrentie. Daar hebben de klanten meer aan.
(en voor wie nog geen klant is: lees dit maar als een advies om vooral geen klant te worden!)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
