Automatisering Gids

De samenwerking houdt in dat de ISP’s elkaar informeren als er botnets waargenomen worden. Als onderdelen van zo’n botnet binnen het bereik liggen van een andere ISP, neemt de collega-ISP daarover contact op. Ook is afgesproken dat besmette systemen worden afgesloten en eventueel op een apart net in quarantaine worden geplaatst. De systemen worden echter niet offline gehaald.

Het convenant is een eigen initiatief van de ISP’s. De OPTA doet wel mee, maar stapte pas later in. GOVCERT neemt hieraan geen deel.
Botnets vormen een belangrijk aanvalswapen van computercriminelen. Vrijwel alle spamberichten zijn afkomstig van botnets. Symantec schat dat in augustus ruim 88 procent van alle e-mailverkeer uit spam bestond. Het botnet Donbot bijvoorbeeld verspreidde deze maand op één dag tien miljard spamberichten.

Wat dit convenant zal uithalen, is echter niet duidelijk. Eerder al werden – op last van Justitie – enkele grote ISP’s afgesloten die botnets hun gang lieten gaan. De botnets doken echter binnen enkele dagen tot een week weer op bij andere ISP’s. Alleen als alle ISP’s meedoen, heeft een dergelijk convenant zin.

Niet alleen doen niet alle ISP’s in Nederland mee. De veertien ISP’s die zich geconformeerd hebben aan het convenant zijn weliswaar goed voor 90 procent van de totale markt, maar er zijn nog zeker 22 kleinere ISP’s actief in Nederland die niet meedoen. Daarnaast houden de afspraken ook niet in dat de ISP’s botnets uitschakelen. Paul Wood, beveiligingsanalist bij Symantec, noemt het uitschakelen van botnets zodra er ongewone activiteiten worden waargenomen “een belangrijke maatregel om de cybercriminaliteit te bestrijden.”

Hij wijst daarbij op de Letse ISP Real Host die 1 augustus werd afgesloten nadat hij in verband was gebracht met command-and-control-servers voor botnetcomputers. Het gigantische botnet Cutwail, dat goed is voor 15 tot 20 procent van alle spam, kwam daardoor grotendeels stil te liggen, maar dat duurde slechts een paar dagen. “ISP’s werden er al eerder van beschuldigd dat ze botnets steunen”, meldt hij.