Una prueba de resiliencia ante DDoS genera deliberadamente tráfico destinado a someter a presión sus defensas. Sin la autorización adecuada, esa misma actividad puede parecer exactamente un ataque y, en muchas jurisdicciones, enviar tráfico disruptivo a sistemas sin permiso puede constituir un delito. Por eso, la autorización no es una formalidad. Es la base que hace que una prueba sea lícita, segura y útil. Esta guía describe lo que suele implicar la autorización de pruebas DDoS y qué partes deben dar su conformidad antes de enviar cualquier tráfico. Es información general y no constituye asesoramiento legal.
Lo que es
La autorización de una prueba DDoS significa que todas las partes con un interés legítimo en los sistemas objetivo han aceptado por escrito una prueba definida. Normalmente esto incluye al responsable de negocio del servicio, al responsable técnico y a cualquier proveedor que opere parte de la ruta: empresas de hosting, plataformas cloud, CDN, servicios de mitigación de DDoS, ISP y, en ocasiones, operadores upstream. Ser titular de un dominio o pagar un hosting no le da, por sí solo, derecho a dirigir tráfico similar a un ataque contra la infraestructura compartida de un proveedor. Muchos proveedores cloud y de CDN publican políticas de pruebas; algunos exigen aviso previo, el uso de proveedores aprobados o límites específicos, y otros prohíben ciertos tipos de prueba. Además del permiso, la autorización documenta el alcance: direcciones y nombres de host objetivo, tipos de tráfico, tasas máximas, ventanas de tiempo, mecanismos de monitoreo, contactos designados en cada parte y las condiciones en las que la prueba se detiene de inmediato.
Para quién es
Esta guía es relevante para:
- Responsables de seguridad e infraestructura que planifican su primera prueba de resiliencia ante DDoS
- Empresas que dependen de una CDN o de un servicio de mitigación y quieren verificar que funciona según lo esperado
- Equipos de compras que evalúan propuestas de pruebas DDoS
- Gerentes que necesitan confirmar la base legal y contractual antes de aprobar una prueba
Qué ayuda a aclarar
Trabajar la autorización ayuda a aclarar:
- Qué sistemas son de su propiedad y cuáles operan proveedores cuyo permiso se necesita
- Si las políticas de pruebas de los proveedores restringen tipos de tráfico, tasas o horarios
- Quién puede detener la prueba en cualquier momento y cómo se le contactará
- Qué impacto en el negocio es aceptable y qué provocaría una detención inmediata
Qué se incluye
- Autorización por escrito firmada por una persona con autoridad sobre el servicio objetivo
- Inventario de direcciones IP y nombres de host dentro del alcance, y de los proveedores en la ruta del tráfico
- Revisión de la política de pruebas de cada proveedor y, cuando se requiera, su aprobación por escrito o la referencia de notificación
- Escenarios de tráfico definidos, con tasas máximas y duración para cada uno
- Ventana de prueba acordada con los equipos de negocio, evitando periodos de máxima actividad y eventos críticos
- Contactos designados en ambas partes, con un canal de comunicación probado
- Condiciones de parada claras y un método confirmado para detener el tráfico de inmediato
- Acuerdo sobre el monitoreo, la recopilación de evidencia y la forma de reportar los resultados
Qué no se incluye
- Pruebas contra sistemas sin autorización del propietario o del proveedor
- Asesoramiento legal sobre cuestiones penales, contractuales o regulatorias
- Instrucciones para generar tráfico de ataque
- Afirmar que una prueba demuestra inmunidad frente a ataques reales
Cuándo elegirlo
Comience el trabajo de autorización varias semanas antes de la fecha prevista de la prueba, porque las aprobaciones de los proveedores pueden demorar. Revíselo cada vez que cambie el objetivo, el proveedor o la ventana; un cambio en cualquiera de ellos es un cambio de alcance, no un ajuste informal. Si un proveedor se niega a aprobar una prueba, respete esa decisión y analice alternativas, como probar una réplica fuera de producción o revisar la configuración. Este artículo es información general y no constituye asesoramiento legal.
Nuestro enfoque
Tratamos la autorización como parte del proyecto, no como un trámite previo. El alcance se confirma por escrito, los requisitos de los proveedores se identifican desde el principio y el cliente obtiene las aprobaciones de terceros que sean necesarias. Nuestro servicio DDoS Resilience Testing evalúa escenarios de disrupción acordados dentro de límites establecidos por escrito, con observación controlada, un resumen de brechas de resiliencia y recomendaciones priorizadas. Durante las pruebas, los contactos designados pueden pausar o detener el trabajo en cualquier momento. El proyecto aporta evidencias sobre el entorno acordado durante la ventana de prueba, y la remediación o la respuesta a incidentes se definen por separado si es necesario. Conserve el paquete de autorización junto con el informe final; registra las condiciones en las que se obtuvieron los resultados, algo importante cuando estos se analicen más adelante.
Preguntas frecuentes
Artículos relacionados
Empezar
¿Planifica una prueba DDoS y tiene dudas sobre las aprobaciones?
Comparta los servicios, proveedores y plazos que tiene en mente. Le ayudaremos a definir el alcance y las aprobaciones necesarias.
Solicitar un alcance por escrito