DDoS-testen: autorisatie, legaliteit en goedkeuring provider

Een DDoS-weerbaarheidstest genereert bewust verkeer dat bedoeld is om uw verdediging onder druk te zetten. Zonder juiste autorisatie kan dezelfde activiteit er precies uitzien als een aanval, en in veel jurisdicties kan het zonder toestemming sturen van verstorend verkeer naar systemen een strafbaar feit zijn. Autorisatie is daarom geen formaliteit. Het is de basis die een test rechtmatig, veilig en nuttig maakt. Deze gids beschrijft wat autorisatie voor DDoS-testen doorgaans inhoudt en welke partijen moeten instemmen voordat er verkeer wordt verstuurd. Het is algemene informatie en geen juridisch advies.

Wat het is

Autorisatie voor een DDoS-test betekent dat iedereen met een legitiem belang bij de doelsystemen schriftelijk heeft ingestemd met een gedefinieerde test. Normaal gesproken zijn dat de zakelijke eigenaar van de dienst, de technische eigenaar en elke aanbieder die een deel van het pad beheert: hostingbedrijven, cloudplatforms, CDN's, DDoS-mitigatiediensten, internetproviders en soms upstream-carriers. Een domein bezitten of voor hosting betalen geeft u op zichzelf niet het recht om aanvalsachtig verkeer op de gedeelde infrastructuur van een aanbieder te richten. Veel cloud- en CDN-aanbieders publiceren testbeleid; sommige vereisen voorafgaande kennisgeving, inzet van goedgekeurde leveranciers of specifieke limieten, en sommige verbieden bepaalde soorten tests. Naast toestemming legt de autorisatie de scope vast: doeladressen en hostnamen, soorten verkeer, maximale snelheden, tijdvensters, afspraken over monitoring, benoemde contactpersonen aan beide kanten en voorwaarden waaronder de test onmiddellijk stopt.

Voor wie het is

Deze gids is relevant voor:

Security- en infrastructuurleads die een eerste DDoS-weerbaarheidstest plannen
Bedrijven die op een CDN of mitigatiedienst vertrouwen en willen controleren of die werkt zoals verwacht
Inkoopteams die voorstellen voor DDoS-testen beoordelen
Managers die de juridische en contractuele basis moeten bevestigen voordat ze een test goedkeuren

Wat Het Helpt Verduidelijken

Werken aan de autorisatie helpt verduidelijken:

welke systemen van u zijn en welke worden beheerd door aanbieders van wie toestemming nodig is
of het testbeleid van aanbieders soorten verkeer, snelheden of tijdstippen beperkt
wie de test op elk moment kan stoppen en hoe die persoon bereikbaar is
welke zakelijke impact aanvaardbaar is en wat een onmiddellijke stop zou veroorzaken

Wat is inbegrepen

Schriftelijke autorisatie, ondertekend door iemand met zeggenschap over de doeldienst
Overzicht van de IP-adressen en hostnamen binnen de scope en van de aanbieders in het verkeerspad
Beoordeling van het testbeleid van elke aanbieder en, waar vereist, hun schriftelijke goedkeuring of referentie van de kennisgeving
Gedefinieerde verkeersscenario's, maximale snelheden en duur per scenario
Een met de business afgestemd testvenster, buiten piekperiodes en kritieke gebeurtenissen
Benoemde contactpersonen aan beide kanten, met een geteste communicatielijn
Duidelijke stopcondities en een bevestigde methode om het verkeer direct te stoppen
Afspraken over monitoring, het verzamelen van bewijs en de rapportage van resultaten

Wat is niet inbegrepen

Testen van systemen waarvoor autorisatie van de eigenaar of aanbieder ontbreekt
Juridisch advies over strafrechtelijke, contractuele of toezichtrechtelijke vragen
Instructies voor het genereren van aanvalsverkeer
Een bewering dat een test immuniteit voor echte aanvallen aantoont

Wanneer u het kiest

Begin met de autorisatie enkele weken vóór de beoogde testdatum, omdat goedkeuring door aanbieders tijd kan kosten. Herzie de autorisatie wanneer het doel, de aanbieder of het venster verandert; een wijziging in een van deze punten is een wijziging van de scope, geen informele aanpassing. Als een aanbieder een test niet goedkeurt, respecteer dat besluit dan en bespreek alternatieven, zoals testen op een replica buiten productie of in plaats daarvan de configuratie beoordelen. Dit artikel is algemene informatie en geen juridisch advies.

Onze Aanpak

Wij behandelen autorisatie als onderdeel van de opdracht, niet als papierwerk vooraf. De scope wordt schriftelijk bevestigd, eisen van aanbieders worden vroeg in kaart gebracht en de klant regelt de benodigde goedkeuringen van derden. Onze dienst DDoS Resilience Testing beoordeelt afgesproken verstoringsscenario's binnen schriftelijke grenzen, met gecontroleerde observatie, een samenvatting van tekortkomingen in de weerbaarheid en geprioriteerde aanbevelingen. Tijdens het testen kunnen benoemde contactpersonen het werk op elk moment pauzeren of stoppen. De opdracht levert bewijs over de afgesproken omgeving tijdens het testvenster, en herstel of incidentrespons wordt zo nodig apart afgebakend. Bewaar het autorisatiedossier bij het eindrapport; het legt de omstandigheden vast waaronder de resultaten zijn verkregen, wat van belang is wanneer de resultaten later worden besproken.

DDoS Resilience Testing

Bekijk de dienstpagina DDoS Resilience Testing