Một báo cáo được tạo bởi những người ủng hộ Đạo luật lạm dụng máy tính (CMA) cải cách hy vọng sẽ cung cấp cho các nhà hoạch định chính sách đang xem xét thay đổi luật sự rõ ràng về tính hợp pháp và hợp pháp của một số trường hợp truy cập trái phép vào hệ thống CNTT. Theo báo cáo, các chuyên gia và chuyên gia an ninh mạng đều đồng ý về những vấn đề này.
Các bên đạt được sự đồng thuận xung quanh Đạo luật lạm dụng máy tính
Trong nhiều năm, phong trào CyberUp đã yêu cầu cải cách Đạo luật Lạm dụng Máy tính. Kể từ khi luật được thông qua vào đầu những năm 1990, khi ngành công nghệ thông tin có sự khác biệt đáng kể, hiện nay cộng đồng bảo mật đang có rất nhiều lo lắng rằng cách diễn đạt hiện tại của nó về cơ bản đã hình sự hóa công việc của các tin tặc có đạo đức và các nhà nghiên cứu bảo mật.
Do đó, nhóm đã thúc đẩy việc bổ sung biện pháp bảo vệ theo luật định cho Đạo luật Lạm dụng Máy tính kể từ năm 2019. Mặc dù chính phủ đã thông báo vào năm ngoái rằng họ sẽ bắt đầu cải cách Đạo luật Lạm dụng Máy tính, nhưng kể từ đó, có rất ít thay đổi, ngoại trừ một thất bại. nỗ lực của các Lãnh chúa để đưa biện pháp bảo vệ theo luật định vào Dự luật Cơ sở hạ tầng Viễn thông và An ninh Sản phẩm (PSTI).
“Sự đồng thuận được nêu trong báo cáo được công bố hôm nay cho thấy cách thức bào chữa theo luật định có thể hoạt động trên thực tế. Điều quan trọng là nó nhấn mạnh rằng nó sẽ không mở ra một ‘Miền Tây hoang dã’ của chủ nghĩa cảnh giác trên mạng. Thay vào đó, bằng cách cải cách Đạo luật lạm dụng máy tính để bảo vệ các hoạt động được nêu trong báo cáo, Chiến dịch CyberUp lập luận rằng chính phủ có thể mang lại nhiều lợi ích, bao gồm cải thiện khả năng phục hồi không gian mạng của quốc gia và các đồng minh, đồng thời đẩy nhanh tốc độ tăng trưởng mạng nội địa của Vương quốc Anh. lĩnh vực an ninh,” các nhà vận động cho biết.
Những người tham gia khảo sát được yêu cầu phân loại các hoạt động và kỹ thuật mạng được sử dụng trong nghiên cứu về lỗ hổng và mối đe dọa thành một số loại: các hành động không gây hoặc ít gây hại nhưng mang lại lợi ích, có thể bảo vệ được; hành động gây tổn hại nhưng không mang lại hoặc mang lại rất ít lợi ích, cũng có thể được bào chữa; và những hành động gây tổn hại nhưng không mang lại hoặc mang lại rất ít lợi ích và không thể bào chữa được.
CyberUp đã thống nhất 13 hoạt động thuộc danh mục đầu tiên. Chúng bao gồm sử dụng các phím giao diện lập trình ứng dụng (API), lấy biểu ngữ, sử dụng đèn hiệu, triển khai tường lửa và kiểm soát truy cập mạng, sử dụng honeypots và danh sách thư mục mở, thu thập thông tin thụ động, quét cổng, sử dụng hộp cát hoặc tarpit, phá hủy máy chủ hoặc botnet, đánh chìm- holing, quét web và phân tích phần mềm độc hại. CyberUp cho rằng Đạo luật lạm dụng máy tính đã được sửa đổi nên khiến những hành động này trở nên chính đáng.
CyberUp đã phát hiện ra sự đồng thuận trong danh mục thứ hai, trong đó việc thu thập thông tin chủ động hoặc chuyển tiếp, vá các mạng của bên thứ ba và sử dụng kết nối giao thức máy tính để bàn từ xa để thu thập thông tin từ hệ thống của kẻ tấn công có thể được bảo vệ, nhưng sẽ cần nghiên cứu sâu hơn để xác định cách quản lý chúng.
Câu hỏi tiếp theo yêu cầu những người trả lời đưa ra ý kiến của họ về việc liệu Đạo luật lạm dụng máy tính mới được ban hành có nên xem xét các hoạt động và chiến thuật mạng hợp pháp hay bất hợp pháp yêu cầu truy cập trái phép hay không.
Con voi trong phòng: Nhân viên bỏ qua các buổi đào tạo về an ninh mạng
Theo CyberUp, nhiều hoạt động có thể được coi là trường hợp truy cập trái phép hợp lệ và do đó cần được cho phép. Việc khảo sát các hệ thống có thể truy cập công khai (tức là được tiếp xúc với Internet) một cách cân đối về các lỗ hổng, nghiên cứu bảo mật có trách nhiệm, tiết lộ có trách nhiệm, quét tích cực, liệt kê, các phương pháp hay nhất để quét internet, sử dụng danh sách Active Directory, nhận dạng, trinh sát và điều tra thụ động, cũng như sử dụng honeypots là một số hoạt động này.
Người ta cũng phát hiện ra rằng có sự đồng thuận về những hành vi nào được coi là truy cập trái phép bất hợp pháp, bao gồm hack lại, phát động các cuộc tấn công từ chối dịch vụ phân tán, sử dụng phần mềm độc hại và ransomware, tham gia vào các hành vi độc hại “không mong muốn về mặt xã hội”, xác thực các hoạt động khai thác hoặc cung cấp bằng chứng. về ranh giới an ninh bị vi phạm và xâm nhập vào các hệ thống được coi là phần quan trọng của cơ sở hạ tầng quan trọng của đất nước. Ý tưởng có phần mơ hồ hơn về việc làm hại người khác cũng được đưa vào bộ sưu tập các hành vi này.
Kết quả
Cuối cùng, nghiên cứu chứng minh một thỏa thuận rằng, khi Bộ Nội vụ sẵn sàng thực hiện những thay đổi về quy định trong tương lai, nhóm chiến thuật mạng được gọi là phòng thủ tích cực có thể vẫn nằm trong vùng xám.
Các hành động như đột nhập vào mạng hoặc hệ thống của các tác nhân đe dọa, xác nhận các lỗ hổng được phát hiện thụ động, khai thác lỗ hổng, nhồi thông tin xác thực, vô hiệu hóa các tài sản đáng ngờ hoặc độc hại, tích cực thu thập thông tin tình báo, sử dụng botnet và tích cực điều tra cũng như tiến hành phân tích pháp y là những ví dụ về các vùng xám này.
Rủi ro an ninh mạng gia tăng đe dọa ngành chăm sóc sức khỏe
CyberUp nhấn mạnh rằng họ không nhất thiết gợi ý rằng toàn bộ danh sách các hành động trong nghiên cứu của mình sẽ được đưa vào hướng dẫn của chính phủ đi kèm với biện pháp bảo vệ theo luật định vì danh sách này chắc chắn sẽ trở nên lỗi thời do bối cảnh an ninh đang diễn biến nhanh như thế nào. Thay vào đó, họ tuyên bố rằng họ hy vọng tòa án có thể sử dụng mức độ thỏa thuận dựa trên ma trận “hại-lợi” bất cứ lúc nào khi xét xử một vụ án hư cấu trong tương lai.
Nó cũng phát hiện ra rằng một số người được hỏi không đồng ý hoặc có quan ngại về chiến lược chung là mở rộng ranh giới của các hoạt động được phép. Một người nói rằng do có khả năng “gián đoạn các hoạt động tình báo hoặc thực thi pháp luật, các sự cố ngoại giao hoặc chiến tranh”, nên duy trì hiện trạng.
Bắt nạt trên mạng là phiên bản kỹ thuật số của các hành vi độc hại của chúng ta và không ai cần điều đó
Một số người được hỏi đặt câu hỏi liệu có nên có hệ thống cấp phép cho các hoạt động mạng cụ thể hay không, trong khi một người khác trả lời rằng chỉ những tác nhân được chứng nhận có lệnh hợp lệ của tòa án mới được tham gia vào các hoạt động này.
Theo kết quả của quá trình tham vấn này, có sự thống nhất về các loại hoạt động an ninh mạng yêu cầu truy cập trái phép nhưng không gây tranh cãi về khả năng gây hại và phải hợp pháp theo Đạo luật lạm dụng máy tính sửa đổi.
Thỏa thuận này sẽ là nền tảng của khung pháp lý mới dành cho các chuyên gia an ninh mạng dựa trên cơ chế bảo vệ theo luật định. Điều này sẽ trấn an các nhà hoạch định chính sách rằng Đạo luật lạm dụng máy tính sửa đổi sẽ không khơi dậy chủ nghĩa cảnh giác mạng ở miền Tây hoang dã. Thay vào đó, nó sẽ giúp ngành an ninh mạng của Vương quốc Anh có thể bảo vệ Vương quốc Anh tốt hơn như một phần trong nỗ lực chung nhằm đảm bảo an ninh cho xã hội đồng thời đảm bảo rằng tội phạm mạng có thể bị đưa ra công lý.
