Âmbito da orientação
O documento, divulgado em 19 de novembro de 2025, aborda os chamados bulletproof hosting (BPH) — provedores que ignoram reclamações de abuso e oferecem infraestrutura com tolerância a conteúdo ilícito. O trabalho foi desenvolvido no contexto do Joint Ransomware Task Force (JRTF) e visa desmontar a infraestrutura que sustenta ransomware, phishing e outras operações criminosas.
Principais recomendações técnicas
A orientação enfatiza abordagem balanceada para não interromper tráfego legítimo:
- Curar listas de bloqueio de alta confiança (blocklists) com fontes comerciais e open‑source de threat intelligence.
- Aplicar filtragem granular na borda da rede, focando em blocos de IP ou ASNs identificados como hostis em vez de bloqueios amplos indiscriminados.
- Estabelecer baselines de tráfego e análises de anomalia para detectar padrões típicos de BPH, como fast flux e migração entre ASNs.
- Configurar logging centralizado para alertar sobre tráfego proveniente de recursos maliciosos conhecidos.
Papel dos ISPs e medidas administrativas
ISPs são encorajados a adotar medidas de "Know Your Customer" (KYC) mais rígidas — requerendo identificação verificável e dados bancários — para dificultar que atores maliciosos alugem infraestrutura. A orientação propõe também códigos de conduta setoriais (por exemplo, acordar bloqueios de IPs abusivos por até 90 dias) e notificações aos clientes quando bloqueios forem aplicados, juntamente com serviços de filtragem opt‑out para clientes com menor tolerância ao risco.
Implicações operacionais e regulatórias
As medidas sugeridas têm impacto operacional (esforço de curadoria de listas, análises contínuas) e implicações legais/regulatórias, especialmente em jurisdições com requisitos de retenção de dados e proteção de privacidade. A adoção de KYC e códigos de conduta pode reduzir o espaço disponível para BPH e facilitar ações de aplicação da lei.
Limitações e próximos passos
A orientação não substitui esforços de cooperação internacional e aplicação da lei; trata‑se de um conjunto de práticas operacionais e administrativas destinadas a reduzir a resiliência da infraestrutura criminosa. Sua eficácia dependerá da adoção coordenada por ISPs, fornecedores de threat intelligence e autoridades.
Fonte: NSA / JRTF