Testování DDoS: oprávnění, legalita a souhlas poskytovatele

Test odolnosti vůči DDoS záměrně generuje provoz, jehož cílem je zatížit vaši obranu. Bez řádného oprávnění může stejná činnost vypadat přesně jako útok a v mnoha jurisdikcích může být odesílání rušivého provozu do systémů bez svolení trestným činem. Oprávnění proto není formalita. Je to základ, díky němuž je test zákonný, bezpečný a užitečný. Tento průvodce popisuje, co oprávnění k testování DDoS obvykle zahrnuje a které strany musí souhlasit dříve, než je odeslán jakýkoli provoz. Jde o obecnou informaci, nikoli o právní poradenství.

Co to je?

Oprávnění k testu DDoS znamená, že všichni, kdo mají na cílových systémech oprávněný zájem, písemně souhlasili s vymezeným testem. Obvykle to zahrnuje obchodního vlastníka služby, technického vlastníka a každého poskytovatele, který provozuje část trasy: hostingové společnosti, cloudové platformy, CDN, služby pro zmírňování DDoS, ISP a někdy i nadřazené operátory. Vlastnictví domény nebo placení za hosting vám samo o sobě nedává právo směrovat provoz podobný útoku na sdílenou infrastrukturu poskytovatele. Mnoho poskytovatelů cloudu a CDN zveřejňuje zásady testování; někteří vyžadují předchozí oznámení, využití schválených dodavatelů nebo konkrétní limity a někteří určité typy testů zakazují. Kromě svolení oprávnění dokumentuje rozsah: cílové adresy a názvy hostitelů, typy provozu, maximální intenzity, časová okna, způsob monitorování, jmenované kontaktní osoby na každé straně a podmínky, za nichž se test okamžitě zastaví.

Pro koho to je?

Tento průvodce je relevantní pro:

Vedoucí bezpečnosti a infrastruktury, kteří plánují první test odolnosti vůči DDoS
Firmy, které spoléhají na CDN nebo službu pro zmírňování útoků a chtějí ověřit, že funguje podle očekávání
Nákupní týmy, které hodnotí nabídky na testování DDoS
Manažery, kteří musí před schválením testu potvrdit právní a smluvní základ

Co to pomůže objasnit

Zpracování oprávnění pomáhá ujasnit:

Které systémy vlastníte a které provozují poskytovatelé, jejichž svolení je nutné
Zda zásady testování poskytovatelů omezují typy provozu, intenzity nebo načasování
Kdo může test kdykoli zastavit a jak bude zastižitelný
Jaký dopad na podnikání je přijatelný a co by vyvolalo okamžité zastavení

Co je zahrnuto

Písemné oprávnění podepsané osobou s pravomocí nad cílovou službou
Soupis IP adres a názvů hostitelů v rozsahu a poskytovatelů na trase provozu
Přezkum zásad testování každého poskytovatele a tam, kde je to vyžadováno, jeho písemný souhlas nebo referenční číslo oznámení
Vymezené scénáře provozu, maximální intenzity a doba trvání každého z nich
Časové okno testu dohodnuté s obchodními týmy, mimo špičky a kritické události
Jmenované kontaktní osoby na obou stranách s otestovaným komunikačním kanálem
Jasné podmínky pro zastavení a potvrzený způsob okamžitého zastavení provozu
Dohoda o monitorování, sběru důkazů a způsobu podání zprávy o výsledcích

Co není součástí

Testování systémů, u nichž chybí oprávnění vlastníka nebo poskytovatele
Právní poradenství k trestněprávním, smluvním nebo regulatorním otázkám
Návody ke generování útočného provozu
Tvrzení, že test prokazuje odolnost proti všem skutečným útokům

Kdy si ji vybrat

S přípravou oprávnění začněte několik týdnů před plánovaným termínem testu, protože souhlasy poskytovatelů mohou chvíli trvat. Vraťte se k ní vždy, když se změní cíl, poskytovatel nebo časové okno; změna kteréhokoli z nich je změnou rozsahu, nikoli neformální úpravou. Pokud poskytovatel odmítne test schválit, respektujte toto rozhodnutí a proberte alternativy, například testování neprodukční repliky nebo místo toho revizi konfigurace. Tento článek je obecnou informací a není právním poradenstvím.

Náš přístup

Oprávnění považujeme za součást zakázky, nikoli za předběžnou administrativu. Rozsah se potvrzuje písemně, požadavky poskytovatelů se identifikují včas a zákazník zajistí veškeré potřebné souhlasy třetích stran. Naše služba DDoS Resilience Testing vyhodnocuje dohodnuté scénáře narušení v rámci písemných limitů, s řízeným pozorováním, shrnutím mezer v odolnosti a prioritizovanými doporučeními. Během testování mohou jmenované kontaktní osoby práci kdykoli pozastavit nebo zastavit. Zakázka přináší důkazy o dohodnutém prostředí během testovacího okna a náprava nebo reakce na incidenty se v případě potřeby vymezují samostatně. Podklady k oprávnění uchovávejte spolu se závěrečnou zprávou; zaznamenávají podmínky, za nichž byly výsledky získány, což je důležité, když se o výsledcích později jedná.

DDoS Resilience Testing

Zobrazit stránku služby DDoS Resilience Testing