Testování DDoS vs. zátěžové testování: co potřebujete?

Co to je?

Zátěžové a stresové testování simuluje realistické chování uživatelů: procházení, přihlašování, vyhledávání, přidávání do košíku, dokončení objednávky nebo volání API. Testy zvyšují provoz na očekávanou úroveň a úroveň špičky a někdy i nad ni, aby se našly body selhání. Výsledky se zaměřují na doby odezvy, chybovost, propustnost a využití zdrojů a pomáhají odhalit úzká hrdla, jako jsou pomalé databázové dotazy, omezené fondy připojení nebo automatické škálování, které reaguje příliš pomalu. Testování odolnosti vůči DDoS simuluje nepřátelské vzorce provozu: záplavy na síťové úrovni, vyčerpání připojení nebo velké objemy aplikačních požadavků navržených tak, aby obešly cache. Výsledky se zaměřují na to, zda služby zmírňování, omezování počtu požadavků, pravidla WAF a ochrany na straně poskytovatele provoz rozpoznají a pohltí, jak dlouho to trvá a jaký dopad pocítí legitimní uživatelé. Zátěžové testování se týká hlavně kapacity a efektivity; testování DDoS se týká hlavně ochrany a reakce. Oba potřebují písemný rozsah, bezpečné limity a podmínky pro zastavení a testování DDoS navíc ve většině případů vyžaduje souhlas poskytovatele.

Pro koho to je?

Toto srovnání pomáhá týmům, které:

• Se připravují na spuštění, kampaň nebo sezónní špičku a chtějí mít jistotu ohledně kapacity
• Pořídily CDN nebo službu pro zmírňování DDoS a chtějí vidět, jak se chová
• Zažily zpomalení nebo výpadky a nejsou si jisté, zda byla příčinou zátěž, nebo útok
• Potřebují vedení vysvětlit, proč jsou navrhovány dva testy provozu

Co to pomůže objasnit

Porovnání obou pomáhá ujasnit:

• Zda je vaším hlavním rizikem skutečná poptávka převyšující kapacitu, nebo nepřátelský provoz převyšující ochranu
• Které prostředí je vhodné: staging blízký produkci pro zátěžové testy, nebo koordinované okno v produkci pro testy odolnosti
• Které metriky jsou důležité: doba odezvy a chybovost, nebo detekce, doba zmírnění a dopad na uživatele
• Které poskytovatele je nutné informovat nebo kteří musí činnost schválit

Co je zahrnuto

• Zvolte zátěžové testování, pokud: se blíží spuštění nebo špička, výkon je opakovanou stížností nebo jste změnili architekturu či hosting
• Zvolte testování DDoS, pokud: spoléháte na služby zmírňování, které jste nikdy neviděli v akci, provozujete vysoce viditelnou službu nebo se zákazníci či partneři ptají na odolnost
• Pro zátěžové testování: definujte uživatelské cesty, očekávané objemy a objemy ve špičce, testovací data a kritéria úspěchu
• Pro testování DDoS: definujte scénáře útoků, maximální intenzity, souhlasy poskytovatelů a podmínky pro zastavení
• Pro oba: dohodněte prostředí, časová okna, monitorování, jmenované kontaktní osoby a podávání zpráv
• Zvažte pořadí: problémy s kapacitou zjištěné při zátěžovém testování opravte dříve, než budete testovat ochrany

Co není součástí

• Tvrzení, že kterýkoli z testů zajistí dostupnost nebo ochrání před všemi budoucími událostmi v provozu
• Testování bez písemného oprávnění a souhlasu poskytovatele, kde je vyžadován
• Průběžné monitorování nebo reakce na incidenty, pokud nejsou vymezeny samostatně
• Podrobné techniky generování provozu

Kdy si ji vybrat

Pokud si nejste jisti, začněte otázkou, na kterou potřebujete odpověď. Pokud zní „zvládneme v den spuštění obsloužit očekávané zákazníky?“, proveďte zátěžový test. Pokud zní „vydržely by naše ochrany, kdyby se nás někdo pokusil vyřadit z provozu?“, proveďte test odolnosti vůči DDoS. Mnoho organizací provádí obojí postupně: zátěžové testování ke stanovení zdravé výchozí úrovně a poté testování odolnosti k vyhodnocení ochran vůči této výchozí úrovni.

Náš přístup

Před testováním definujte, co znamená úspěch. U zátěžového testování to mohou být přijatelné doby odezvy při daném počtu souběžných uživatelů. U testování odolnosti to může být doba, za kterou se zmírňování aktivuje, a míra dopadu, který legitimní uživatelé mezitím pocítí. Naše služba Application Load & Stress Testing vyhodnocuje chování aplikace v dohodnutých scénářích využití, úrovních zátěže, prostředích a bezpečnostních limitech. Naše služba DDoS Resilience Testing vyhodnocuje dohodnuté scénáře narušení v rámci písemných limitů, včetně koordinace s poskytovateli. Každá z nich přináší písemná zjištění a prioritizovaná doporučení a nápravu či nepřetržité monitorování lze doplnit v samostatně dohodnutém rozsahu. Pokud plánujete obojí, vymezte rozsah společně, aby prostředí, kontaktní osoby a formáty zpráv na sebe navazovaly a výsledky bylo možné porovnat.

DDoS Resilience Testing

Často kladené otázky

Související články