Lessons from the Trusted Introducer Approach Nicole - PowerPoint PPT Presentation

Lessons ¡from ¡the ¡Trusted ¡ Introducer ¡Approach ¡ Nicole ¡Harris, ¡Project ¡Development ¡Officer ¡ GÉANT ¡Amsterdam ¡Office ¡ 1 st ¡WISE ¡Workshop, ¡Barcelona ¡ 21 st ¡October ¡2015 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

TF-­‑CSIRT, ¡Trusted ¡Introducer ¡and ¡TRANSITS ¡ ¡ • GÉANT ¡Task ¡Force ¡but ¡not ¡typical. ¡ • Meets ¡three ¡Omes ¡a ¡year. ¡ • Even ¡mix ¡of ¡NREN, ¡commercial, ¡ ¡ • 100 ¡– ¡160 ¡people ¡per ¡meeOng. ¡ government ¡/ ¡naOonal ¡CERTS. ¡ ¡ • Closed, ¡only ¡for ¡teams ¡in ¡TI. ¡ TF-­‑CSIRT ¡ TF-­‑CSIRT ¡ • Procured ¡service. ¡ Steering ¡ • Provides ¡both ¡taught ¡ CommiLee ¡ • Supports ¡lisOng, ¡ ¡ courses ¡and ¡licenses ¡ ¡accreditaOon ¡and ¡ ¡ materials ¡for ¡general ¡ cerOficaOon ¡of ¡teams. ¡ use. ¡ ¡ TRANSITS ¡ Trusted ¡ Training ¡ Introducer ¡ 2 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

What ¡is ¡Trusted ¡Introducer? ¡ • A ¡process ¡for ¡CSIRT ¡teams ¡to ¡get ¡to ¡know ¡each ¡other ¡and ¡build ¡trust. ¡ ¡ ¡ • A ¡registry ¡of ¡CSIRT ¡teams. ¡ ¡ • A ¡set ¡of ¡tools ¡that ¡can ¡be ¡used ¡by ¡the ¡teams ¡for ¡incident ¡response. ¡ ¡ • An ¡accreditaOon ¡and ¡cerOficaOon ¡process ¡to ¡help ¡teams ¡express ¡their ¡ trustworthiness. ¡ ¡ • TradiOonally ¡Europe ¡+ ¡surrounding ¡regions ¡but ¡now ¡accepts ¡all ¡teams. ¡ hLps://www.trusted-­‑introducer.org ¡ 3 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Partners ¡ • APCERT, ¡ • AfricaCERT, ¡ • AMPARO, ¡ • FIRST, ¡ • ENISA, ¡ ¡ • RIPE. ¡ We ¡align ¡with ¡the ¡Regional ¡Internet ¡Regions ¡ ¡ 4 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Three ¡Processes ¡of ¡TI ¡ • Free ¡service. ¡ • Simple ¡team ¡lisOng ¡in ¡registry. ¡ LisOng ¡ • Must ¡be ¡supported ¡by ¡2 ¡exisOng ¡teams. ¡ • Can ¡aLend ¡TF-­‑CSIRT ¡general ¡sessions. ¡ • Cost ¡of ¡1,200 ¡euros ¡per ¡year, ¡plus ¡one ¡Ome ¡fee ¡(800 ¡euros). ¡ • Supported ¡self-­‑assessment ¡against ¡a ¡set ¡of ¡criteria. ¡ AccreditaOon ¡ • Can ¡aLend ¡closed ¡meeOngs, ¡be ¡on ¡closed ¡lists, ¡access ¡ closed ¡area ¡of ¡website. ¡ ¡ • Cost ¡of ¡2,400 ¡euros ¡(in ¡Europe, ¡more ¡outside). ¡ CerOficaOon ¡ • Full ¡audited ¡cerOficaOon. ¡ 5 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

How ¡About ¡You? ¡ LISTED ¡ ACCREDITED ¡ CERTIFIED ¡ • CERN-­‑CERT ¡ • SURFcert ¡ • GÉANT ¡CERT ¡ • PIONIER-­‑CERT ¡ • Funet ¡CERT ¡ • EGI ¡CSIRT ¡ • RESTENA ¡CSIRT ¡ • SWITCH-­‑CERT ¡ • Janet ¡CSIRT ¡ • UNINETT ¡CERT ¡ • BELNET ¡CERT ¡ • DFN-­‑CERT ¡ • GARR-­‑CERT ¡ • NORDUnet ¡ CERT ¡(can) ¡ • CESNET-­‑CERTS ¡ • CSUC-­‑CSIRT ¡ • RedIRIS ¡ • LITNET ¡CERT ¡ 6 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

AccreditaJon ¡/ ¡CerJficaJon ¡Processes ¡ • AccreditaOon ¡requires: ¡ ¡ • Maintaining ¡accurate ¡data ¡on ¡the ¡TI ¡database ¡(annual ¡check). ¡ • Compliance ¡with ¡RFC2350: ¡hLp://www.ief.org/rfc/rfc2350.txt. ¡ ¡ • Support ¡for ¡the ¡InformaOon ¡Sharing ¡Traffic ¡Light ¡Protocol: ¡ hLps://www.trusted-­‑introducer.org/ISTLPv11.pdf. ¡ ¡ ¡ • Support ¡for ¡the ¡CSIRT ¡Code ¡of ¡PracOce: ¡ hLps://www.trusted-­‑introducer.org/CCoPv21.pdf. ¡ ¡ • CerOficaOon ¡requires: ¡ ¡ • AudiOng ¡against ¡the ¡SIM3 ¡model: ¡ hLps://www.trusted-­‑introducer.org/SIM3-­‑Reference-­‑Model.pdf. ¡ ¡ ¡ ¡ 7 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Number ¡of ¡Teams ¡ As ¡of ¡end ¡08-­‑15: ¡ ¡ • 254 ¡Listed. ¡ • (of ¡which) ¡121 ¡ Accredited. ¡ • (of ¡which) ¡14 ¡ CerOfied. ¡ 8 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Team ¡Types ¡(listed) ¡ 9 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Team ¡types ¡(accredited) ¡ 10 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Czech ¡Model ¡– ¡group ¡within ¡a ¡group ¡ 11 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

New ¡developments ¡ • Response ¡/ ¡maturity ¡tesOng. ¡ ¡ • TesOng ¡the ¡response ¡abiliOes ¡of ¡teams ¡to ¡an ¡e-­‑mail ¡and ¡other ¡supporOng ¡ factors ¡(cerOficates ¡for ¡signing). ¡ ¡ • No ¡penalOes ¡for ¡not ¡reply, ¡but ¡teams ¡and ¡team ¡managers ¡are ¡shown ¡the ¡ results. ¡ • Has ¡lead ¡to ¡changes ¡being ¡made ¡by ¡teams. ¡ • Lightweight ¡exercise ¡to ¡help ¡support ¡best ¡pracOce. ¡ ¡ • Will ¡be ¡repeated ¡3 ¡Omes ¡a ¡year. ¡ ¡ • TI ¡Review. ¡ • Currently ¡undertaking ¡a ¡full-­‑scale ¡review ¡of ¡the ¡TI ¡service ¡porfolio. ¡ ¡ • Complaints ¡Procedure. ¡ ¡ ¡ • API ¡to ¡the ¡database ¡/ ¡other ¡sources ¡of ¡informaOon. ¡ ¡ 12 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

What ¡is ¡the ¡recipe ¡for ¡trust? ¡ ¡ • What ¡do ¡accreditaOon ¡/ ¡cerOficaOon ¡programmes ¡add? ¡ ¡ • Cost! ¡ • Brand ¡recogniOon. ¡ • Rubber ¡stamp. ¡ ¡ • What ¡is ¡the ¡role ¡for ¡face-­‑to-­‑face? ¡ • Consistently ¡large ¡TF-­‑CSIRT ¡meeOngs. ¡ ¡People ¡show ¡up. ¡ ¡ • Closed ¡meeOngs ¡for ¡sharing, ¡but ¡sOll ¡reluctance ¡unOl ¡someOme ¡aker ¡the ¡ event. ¡ • What ¡happens ¡when ¡you ¡grow ¡too ¡big? ¡ • Bilateral ¡vs. ¡Group ¡sharing. ¡ ¡ ¡ 13 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Lessons ¡Learned? ¡ • No ¡maLer ¡what ¡the ¡trust, ¡trust ¡cannot ¡be ¡grown ¡throughout ¡the ¡whole ¡ group. ¡ ¡ • General ¡models ¡can ¡be ¡used ¡for ¡fostering ¡more ¡local ¡trust ¡groups. ¡ • Face-­‑to-­‑face ¡is ¡absolutely ¡essenOal ¡and ¡worth ¡the ¡cost. ¡ • ¡Don’t ¡expect ¡full ¡group ¡sharing, ¡even ¡on ¡closed ¡“trusted” ¡lists. ¡ ¡ • Where ¡are ¡we ¡storing ¡informaOon ¡about ¡teams ¡and ¡can ¡we ¡reduce ¡ duplicaOon? ¡ 14 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡

Thank ¡you ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡ 15 ¡ Networks ¡·√ ¡Services ¡·√ ¡People ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ www.geant.org ¡ ¡ ¡