Viktiga slutsatser

  • Cyberbrottslingar agerar i maskinens hastighet, medan många processer för hantering av missbruk fortfarande bygger på manuella arbetsflöden.
  • Högkvalitativa, bevisbaserade rapporter om missbruk möjliggör snabbare utredningar och effektivare åtgärder.
  • Enhetlig klassificering av allvarlighetsgrad och strukturerad eskalering förbättrar det operativa beslutsfattandet.
  • Samarbete mellan registrarer, register (TLD), webbhotell, molnleverantörer, CERT-enheter och brottsbekämpande myndigheter är avgörande för att minska skador orsakade av cyberbrott.
  • Cybersäkerhetsbranschen behöver standardiserade operativa rutiner för rapportering av missbruk, inte bara bättre detekteringsteknik.

Cyberbrottslingar agerar på några minuter. Branschen reagerar fortfarande på flera dagar.

Varje timme som en phishing-sajt, en plattform för spridning av skadlig kod eller en bedräglig domän förblir online skapar nya offer.

Cyberbrottslingar förstår detta.

De automatiserar infrastrukturdriftsättningen, byter domäner inom några minuter, missbrukar molntjänster i stor skala och omdirigerar snabbt sin verksamhet när infrastrukturen störs.

Samtidigt förlitar sig stora delar av internetets ekosystem för hantering av missbruk fortfarande på processer som inte har förändrats i grunden på flera år.

  • Manuella inkorgar för missbruk.
  • Ofullständiga rapporter.
  • Otydliga ansvarsområden.
  • Flera överlämningar.
  • Förväntningar på svar under kontorstid.

Resultatet är en operativ lucka som cyberbrottslingar utnyttjar varje dag.

Hastigheten har förändrats. Processerna har inte det.

Internet utformades aldrig med dagens hotbild i åtanke.

När missbruk inträffar är ansvaret ofta fördelat på flera organisationer:

  • Registrarer
  • Register (TLD)
  • Webbhotell
  • DNS-leverantörer
  • Molnleverantörer
  • CDN-operatörer
  • Nationella CERT:er
  • Brottsbekämpande myndigheter

Var och en av dessa organisationer har olika ansvarsområden, olika avtalsramar och olika operativa rutiner.

Denna komplexitet är förståelig.

Det som blir allt svårare att rättfärdiga är hur inkonsekvent rapporteringen av missbruk fortfarande är inom branschen.

Många rapporter kommer in med mycket lite stödjande bevis.

Vissa skickas till helt fel organisation.

Andra saknar de tekniska detaljer som behövs för att leverantörerna ska kunna utreda snabbt.

I många fall inleds inte utredningen omedelbart, inte för att leverantörerna inte vill hjälpa till, utan för att anmälan i sig inte är tillräcklig för att vidta åtgärder.

Cyberbrottslingar väntar inte på bättre dokumentation.

En anmälan om missbruk bör påskynda utredningen, inte skapa mer arbete

En bra anmälan om missbruk bör besvara de frågor som utredarna omedelbart behöver svar på:

  • Vad har hänt?
  • Vilken infrastruktur är inblandad?
  • Vilka bevis stöder anklagelsen?
  • Hur allvarlig är aktiviteten?
  • Pågår någon skada just nu?
  • Vem ansvarar för nästa åtgärd?

När dessa frågor besvaras på ett konsekvent sätt kan leverantörerna ägna mindre tid åt att begära förtydliganden och mer tid åt att avvärja hotet.

Tyvärr finns det ingen allmänt vedertagen operativ standard för att ta fram denna typ av rapport.

Eskalering bör vara förutsägbar

En annan utmaning är att veta när en incident bör eskaleras bortom den första leverantören.

Att eskalera för tidigt skapar onödig friktion.

Att eskalera för sent gör att attackerna kan fortsätta.

Ett strukturerat ramverk för eskalering bör beakta:

  • Beviskvalitet
  • Allvarlighetsgrad
  • Pågående påverkan på offren
  • Leverantörens respons
  • Operativa tidsramar
  • Proportionalitet

Utan ett gemensamt ramverk blir eskaleringen ofta subjektiv snarare än bevisbaserad.

Aktiv skada kräver omedelbart samarbete

Inte alla incidenter förtjänar samma respons.

En misstänkt domänregistrering skiljer sig avsevärt från en aktiv kampanj för insamling av inloggningsuppgifter som riktar sig mot hundratals användare.

När aktiv skada bekräftas kan väntan på att sekventiella processer ska slutföras onödigt förlänga livslängden för den skadliga infrastrukturen.

Det är här parallell samordning blir avgörande.

Registrarer, webbhotell, molnoperatörer, CERT-enheter och, i förekommande fall, brottsbekämpande myndigheter bör kunna utgå från samma bevis och operativ tidsplan.

Målet är inte att utdela skuld.

Det är att minska skadan.

Vi behöver bättre operativa standarder

Cybersäkerhetsbranschen har välutvecklade ramverk för incidenthantering, sårbarhetshantering och styrning av informationssäkerhet.

Rapporteringen av missbruk har utvecklats betydligt mindre enhetligt.

Organisationer har utvecklat sina egna rutiner, men det finns få gemensamma riktlinjer för:

  • Beviskvalitet
  • Dokumentationsstandarder
  • Allvarlighetsklassificering
  • Tröskelvärden för eskalering
  • Operativt ansvar
  • Revisionsbarhet

I takt med att cyberbrottsligheten blir alltmer professionaliserad måste hanteringen av missbruk bli lika professionell.

Samma mognad som organisationer förväntar sig av incidenthantering och säkerhetsverksamhet bör också finnas i de processer som används för att rapportera och störa skadlig infrastruktur. Utan gemensamma operativa standarder tvingas varje organisation i praktiken att på egen hand utforma sin egen metodik för hantering av missbruk, vilket leder till inkonsekventa resultat inom branschen.

Excedos tillvägagångssätt

På Excedo anser vi att effektiv hantering av missbruk bör bygga på samma principer som ligger till grund för modern cybersäkerhetsverksamhet: konsistens, bevis, ansvarsskyldighet och kontinuerlig förbättring.

För att stödja detta mål har vi utvecklat en omfattande handbok för rapportering och eskalering av missbruk som fastställer ett standardiserat operativt ramverk för utredning, dokumentation, rapportering och eskalering av missbruk som rör domännamn och internetinfrastruktur. Ramverket definierar krav på bevis, allvarlighetsklassificeringar, operativa tidsramar, eskaleringskriterier, dokumentationsstandarder samt samarbete med registrarer, register (TLD), infrastrukturleverantörer, CERT-enheter och behöriga myndigheter.

Policyn är avsiktligt operativ snarare än juridisk till sin natur. Den omdefinierar inte avtalsenliga ansvar eller regleringsmässiga skyldigheter, och den föreskriver inte heller hur leverantörer måste agera. Istället tillhandahåller den en konsekvent metodik som säkerställer att rapporter om missbruk är tekniskt korrekta, bevisbaserade, proportionerliga och leder till åtgärder.

I slutändan är vårt mål enkelt: att minska tiden mellan identifiering av skadlig infrastruktur och avhjälpande av den skada den orsakar.

Att se bortom enskilda fall

Cybersäkerhetsgemenskapen mäter ofta framgång i antalet upptäckta hot, delade indikatorer eller utredda incidenter.

Men upptäckt i sig skyddar inte offren.

Verklig framgång mäts i hur snabbt skadlig infrastruktur stoppas.

Det kräver operativ mognad i hela ekosystemet, från analytikern som samlar in bevis, till registraren som granskar en missbruksrapport, till webbhotellleverantören som inaktiverar skadligt innehåll och, vid behov, till nationella CERT-enheter och brottsbekämpande myndigheter som samordnar en bredare insats.

Cyberbrottslingar arbetar redan med standardiserade strategier, automatisering och global infrastruktur.

Försvararna behöver lika mogna operativa processer.

Avslutande tankar

Cyberbrottslighet har blivit en industrialiserad verksamhet.

De processer som används för att bekämpa den bör vara lika professionella.

Framtiden för hanteringen av missbruk handlar inte bara om att skicka fler rapporter. Det handlar om att skicka bättre rapporter, stödda av verifierbara bevis, dokumenterade genom konsekventa processer och eskalerade på ett strukturerat och proportionerligt sätt.

Branschen har gjort anmärkningsvärda framsteg inom hotdetektering, informationsutbyte och försvarsteknik. Nu måste den göra samma satsning på operativt samarbete.

För varje timme som skadlig infrastruktur förblir online är det ytterligare en timme då angriparna, inte försvararna, styr händelseförloppet.