Teste de DDoS: autorização, legalidade e aprovação do provedor

Um teste de resiliência a DDoS gera deliberadamente tráfego destinado a pressionar suas defesas. Sem a devida autorização, a mesma atividade pode parecer exatamente um ataque e, em muitas jurisdições, enviar tráfego disruptivo a sistemas sem permissão pode constituir crime. Por isso, a autorização não é uma formalidade. É a base que torna o teste lícito, seguro e útil. Este guia descreve o que a autorização para testes de DDoS normalmente envolve e quais partes precisam estar de acordo antes do envio de qualquer tráfego. Trata-se de informação geral e não constitui consultoria jurídica.

O que é

Autorização para um teste de DDoS significa que todos que têm interesse legítimo nos sistemas-alvo concordaram, por escrito, com um teste definido. Isso normalmente inclui o responsável de negócio pelo serviço, o responsável técnico e qualquer provedor que opere parte do caminho: empresas de hospedagem, plataformas de nuvem, CDNs, serviços de mitigação de DDoS, provedores de internet e, às vezes, operadoras upstream. Ser dono de um domínio ou pagar pela hospedagem não lhe dá, por si só, o direito de direcionar tráfego semelhante a um ataque para a infraestrutura compartilhada de um provedor. Muitos provedores de nuvem e CDN publicam políticas de teste; alguns exigem aviso prévio, o uso de fornecedores aprovados ou limites específicos, e alguns proíbem certos tipos de teste. Além da permissão, a autorização documenta o escopo: endereços e hostnames-alvo, tipos de tráfego, taxas máximas, janelas de tempo, arranjos de monitoramento, contatos nomeados de cada lado e as condições em que o teste é interrompido imediatamente.

Para Quem É

Este guia é relevante para:

Líderes de segurança e infraestrutura que planejam um primeiro teste de resiliência a DDoS
Empresas que dependem de uma CDN ou de um serviço de mitigação e querem verificar se ele funciona como esperado
Equipes de compras que avaliam propostas de teste de DDoS
Gestores que precisam confirmar a base legal e contratual antes de aprovar um teste

O Que Isso Ajuda A Esclarecer

Trabalhar a autorização ajuda a esclarecer:

Quais sistemas são seus e quais são operados por provedores cuja permissão é necessária
Se as políticas de teste dos provedores restringem tipos de tráfego, taxas ou horários
Quem pode interromper o teste a qualquer momento e como essa pessoa será contatada
Qual impacto no negócio é aceitável e o que desencadearia uma interrupção imediata

O que está incluído

Autorização por escrito assinada por alguém com autoridade sobre o serviço-alvo
Inventário dos endereços IP e hostnames dentro do escopo e dos provedores no caminho do tráfego
Análise da política de teste de cada provedor e, quando exigido, sua aprovação por escrito ou referência de notificação
Cenários de tráfego definidos, com taxas máximas e duração para cada um
Janela de teste acordada com as áreas de negócio, evitando períodos de pico e eventos críticos
Contatos nomeados dos dois lados, com um canal de comunicação testado
Condições de parada claras e um método confirmado para interromper o tráfego imediatamente
Acordo sobre monitoramento, coleta de evidências e forma de relatar os resultados

O que não está incluído

Testes contra sistemas sem autorização do proprietário ou do provedor
Consultoria jurídica sobre questões criminais, contratuais ou regulatórias
Instruções para gerar tráfego de ataque
Afirmação de que um teste comprova imunidade contra ataques reais

Quando Escolher

Comece o trabalho de autorização várias semanas antes da data pretendida para o teste, pois as aprovações dos provedores podem demorar. Revise-o sempre que o alvo, o provedor ou a janela mudarem; uma mudança em qualquer um desses itens é uma mudança de escopo, não um ajuste informal. Se um provedor se recusar a aprovar um teste, respeite essa decisão e discuta alternativas, como testar uma réplica fora de produção ou revisar a configuração. Este artigo contém informações gerais e não constitui consultoria jurídica.

Nossa abordagem

Tratamos a autorização como parte do trabalho, e não como papelada prévia. O escopo é confirmado por escrito, os requisitos dos provedores são identificados cedo e o cliente obtém as aprovações de terceiros necessárias. Nosso serviço DDoS Resilience Testing avalia cenários de disrupção acordados dentro de limites definidos por escrito, com observação controlada, um resumo das lacunas de resiliência e recomendações priorizadas. Durante o teste, os contatos nomeados podem pausar ou interromper o trabalho a qualquer momento. O trabalho entrega evidências sobre o ambiente acordado durante a janela de teste, e a correção ou a resposta a incidentes são definidas em escopo separado, se necessário. Guarde o pacote de autorização junto com o relatório final; ele registra as condições em que os resultados foram obtidos, o que é importante quando os resultados forem discutidos depois.

DDoS Resilience Testing

Ver a página do serviço DDoS Resilience Testing