Memorandum of Understanding (pdf)

Memorandum of Understanding
mellem
medlemmerne af ISP Sikkerhedsforum, DK-CERT og GovCERT
Formål
vedrørende bekæmpelse af botnet
Formålet med dette Memorandum of Understanding (Mou) er at beskrive rammerne for et samarbejde
mellem medlemmerne af ISP Sikkerhedsforum, DK-CERT og GovCERT om bekæmpelse af botnets.
Grundlaget for memorandummet
Parterne er enige om, at botnets udgør et stigende problem for it-sikkerheden for såvel borgere, virksomheder
og myndigheder. Botnets udgør en it-sikkerhedsmæssig udfordring, da botnets benyttes til forskellige former
for it-kriminalitet.
Parterne er desuden enige om, at bekæmpelse af botnets – internationalt som nationalt – forudsætter et tæt
samarbejde mellem parterne. Hverken myndigheder, CERT'er eller internetudbydere kan af egen drift
bekæmpe botnets effektivt.
Definitioner
Et botnet defineres som en samling af computere, der bliver fjernstyret af kriminelle til at udsende spam,
aflure kodeord eller angribe andre pc’er.
En ISP (internet service provider) defineres som et selskab eller organisation, der tilbyder enkeltpersoner
eller virksomheder adgang til internettet. En ISP har eget AS-nummmer og udstyr samt adgang til de
telekommunikationsveje, som er nødvendige for at have ”point of presence” på internettet for det geografiske
områder, som ISP’en udbyder sine tjenester til.
Parterne
ISP Sikkerhedsforum er dannet af en række danske internetudbydere for at styrke udbydernes bidrag til
indsatsen mod virus, orme, hackerangreb og spam. Udgangspunktet for samarbejdet i forummet er
bekæmpelse af større softwarebaserede hacker-, orme- eller virusangreb, som genererer trafik på internettet i
et sådant omfang, at dets generelle anvendelighed er truet.
DK-CERT er en varslingstjeneste, der overvåger trusler mod brugere af Forskningsnettet. DK-CERT
deltager som observatør i ISP Sikkerhedsforum.

GovCERT er den statslige varslingstjeneste for internettet. GovCERT deltager som observatør i ISP
Sikkerhedsforum.
Proces for anmeldelse og blokering
I det følgende beskrives, hvordan CERT'erne og internetudbyderne har aftalt at håndtere anbefalinger om at
spærre for kunder adgang til domæner og ip-adresser.
Der er i ISP Sikkerhedsforum enighed om følgende proces:
1. En ekstern part eller en deltager i denne aftale, som mener, at et eller flere domæner eller ip-adresser
bør blokeres, henvender sig til én af de to danske CERT’er – enten DK-CERT eller GovCERT.
Disse kan kontaktes gennem følgende email adresser:
DK-CERT: contact@cert.dk
GovCERT: contact@govcert.dk
CERT’en verificerer først, at henvendelsen er fra en organisation eller virksomhed, hvis ægthed
umiddelbart kan fastslås. Anonyme henvendelser eller henvendelser, hvis ægthed ikke kan fastslås
simpelt, vil ikke blive behandlet. Henvendelsen skal endvidere kunne relateres til botnetaktivitet,
samt indholde domænenavn/ip-adresse, fuld sti til malware, og hashværdi på malware.
2. Efter verifikation vil CERT’en efterprøve påstanden om ondsindet aktivitet på de pågældende
domæner eller adresser. I tilfælde af ondsindet aktivitet udarbejder CERT'en på baggrund af
efterprøvningen en rapport, der bør have følgende indhold:
a. Identiteten på den organisation som ønsker en blokering.
b. Den oprindelige henvendelse.
c. Dokumentation for den verificeringsproces CERT'en har gennemført med henblik på at
fastlægge hvorvidt der er skadeligt indhold på domænet eller ip-adressen.
d. Beskrivelse af indholdet på den ip-adresse eller domæne, der ønskes blokeret, hvilke
potentielle skadevirkninger indholdet har samt hvilken effekt blokeringen forventes at have.
e. Vurdering af hvorvidt eventuel blokering vil have andre utilsigtende virkninger, f.eks. at
blokering også vil ramme ikke-skadelige domæner eller ip-adresser.
3. CERT'en videreformidler rapporten til medlemmerne af ISP-sikkerhedsforum med en anbefaling om
at blokere for ressourcen. Anbefaling om blokering kan kun foretages ud fra et objektivt
konstaterbart grundlag. Ved samme lejlighed anmoder CERT'erne om fjernelse af botnetkomponten
hos ejeren af det pågældende domæne eller ip-adresse , hvis der er tale om et dansk domæne, eller
sender anmodningen til den relevante nationale CERT i tilfælde af et udenlandsk domæne.
Det er herefter alene op til de enkelte medlemmer af ISP-sikkerhedsforum at vælge, om de vil efterkomme
anbefalingen på baggrund af den foreliggende dokumentation. ISP'erne skal dog informere ISPsikkerhedsforum
og CERT’erne om deres beslutning og grundlaget for denne beslutning.
Den relevante CERT informerer internetudbyderen og ISP-sikkerhedsforum, når en blokering ikke længere
er relevant.

Forudsætninger for samarbejdet
Samarbejdet under dette Mou er baseret på frivillighed. Denne aftale er ikke juridisk bindende, og der kan
ikke pålægges ansvar med henvisning til denne aftale.
En internetudbyder, der deltager i samarbejdet, kan ikke pålægges at blokere en ip-adresse eller spærre for et
domæne med henvisning til denne aftale.
Der vil ikke blive foretaget afregning mellem parterne for aktiviteter, som måtte udspringe af blokeringer,
der kan være en følge af dette Mou. Parterne afholder således hver især de udgifter der kan opstå som følge
af dette samarbejde.
Enhver udveksling af oplysninger mellem parterne finder sted inden for rammerne af dansk lovgivning.