En test af DDoS-modstandsdygtighed genererer bevidst trafik, der skal belaste jeres forsvar. Uden korrekt autorisation kan den samme aktivitet se præcis ud som et angreb, og i mange jurisdiktioner kan det være strafbart at sende forstyrrende trafik mod systemer uden tilladelse. Autorisation er derfor ikke en formalitet. Det er fundamentet, der gør en test lovlig, sikker og nyttig. Denne guide beskriver, hvad autorisation af DDoS-test normalt indebærer, og hvilke parter der skal være enige, før der sendes trafik. Den er generel information og ikke juridisk rådgivning.
Hvad det er
Autorisation af en DDoS-test betyder, at alle med en legitim interesse i målsystemerne skriftligt har accepteret en defineret test. Det omfatter normalt tjenestens forretningsmæssige ejer, den tekniske ejer og enhver udbyder, der driver en del af trafikvejen: hostingvirksomheder, cloudplatforme, CDN’er, DDoS-beskyttelsestjenester, internetudbydere og undertiden overordnede netværksoperatører. At eje et domæne eller betale for hosting giver ikke i sig selv ret til at rette angrebslignende trafik mod en udbyders delte infrastruktur. Mange cloud- og CDN-udbydere offentliggør testpolitikker; nogle kræver forudgående varsel, brug af godkendte leverandører eller bestemte grænser, og nogle forbyder visse testtyper. Ud over tilladelsen dokumenterer autorisationen omfanget: måladresser og værtsnavne, trafiktyper, maksimale rater, tidsvinduer, overvågningsordninger, navngivne kontaktpersoner på hver side og betingelser, hvorunder testen stoppes øjeblikkeligt.
Hvem er det for?
Denne guide er relevant for:
- Ansvarlige for sikkerhed og infrastruktur, der planlægger en første test af DDoS-modstandsdygtighed
- Virksomheder, der er afhængige af et CDN eller en beskyttelsestjeneste og vil kontrollere, at den virker som forventet
- Indkøbsteams, der vurderer tilbud på DDoS-test
- Ledere, der skal bekræfte det juridiske og kontraktmæssige grundlag, før de godkender en test
Hvad det hjælper med at afklare
At gennemgå autorisationen hjælper med at afklare:
- Hvilke systemer I ejer, og hvilke der drives af udbydere, hvis tilladelse er nødvendig
- Om udbydernes testpolitikker begrænser trafiktyper, rater eller tidspunkter
- Hvem der til enhver tid kan stoppe testen, og hvordan de kan kontaktes
- Hvilken forretningsmæssig påvirkning der er acceptabel, og hvad der vil udløse et øjeblikkeligt stop
Hvad er inkluderet
- Skriftlig autorisation underskrevet af en person med myndighed over måltjenesten
- Oversigt over IP-adresser og værtsnavne inden for omfanget og over udbyderne i trafikvejen
- Gennemgang af hver udbyders testpolitik og, hvor det kræves, deres skriftlige godkendelse eller referencen for underretningen
- Definerede trafikscenarier samt maksimal rate og varighed for hvert scenarie
- Testvindue aftalt med forretningsteams, uden for spidsbelastningsperioder og kritiske begivenheder
- Navngivne kontaktpersoner på begge sider med en afprøvet kommunikationskanal
- Klare stopbetingelser og en bekræftet metode til øjeblikkeligt at standse trafikken
- Enighed om overvågning, indsamling af evidens og hvordan resultaterne rapporteres
Hvad er ikke inkluderet?
- Test mod systemer, hvor autorisation fra ejeren eller udbyderen mangler
- Juridisk rådgivning om strafferetlige, kontraktmæssige eller regulatoriske spørgsmål
- Instruktioner i at generere angrebstrafik
- En påstand om, at en test beviser immunitet over for reelle angreb
Hvornår du skal vælge det
Begynd arbejdet med autorisationen flere uger før den planlagte testdato, fordi godkendelser fra udbydere kan tage tid. Gennemgå den igen, hver gang målet, udbyderen eller vinduet ændres; en ændring af noget af dette er en ændring af omfanget, ikke en uformel justering. Hvis en udbyder afviser at godkende en test, så respektér beslutningen, og drøft alternativer, såsom at teste en kopi uden for produktion eller i stedet gennemgå konfigurationen. Denne artikel er generel information og ikke juridisk rådgivning.
Vores tilgang
Vi betragter autorisation som en del af opgaven, ikke som papirarbejde på forhånd. Omfanget bekræftes skriftligt, udbydernes krav identificeres tidligt, og kunden indhenter de nødvendige godkendelser fra tredjeparter. Vores tjeneste DDoS Resilience Testing vurderer aftalte forstyrrelsesscenarier inden for skriftlige grænser med kontrolleret observation, et resumé af mangler i modstandsdygtigheden og prioriterede anbefalinger. Under testen kan navngivne kontaktpersoner til enhver tid sætte arbejdet på pause eller stoppe det. Opgaven leverer dokumentation om det aftalte miljø i testvinduet, og afhjælpning eller hændelseshåndtering afgrænses separat, hvis der er behov for det. Opbevar autorisationspakken sammen med den endelige rapport; den dokumenterer de betingelser, resultaterne blev opnået under, hvilket har betydning, når resultaterne drøftes senere.
Ofte stillede spørgsmål
Relaterede artikler
Start
Planlægger I en DDoS-test og er usikre på godkendelserne?
Del de tjenester, udbydere og tidspunkter, I har i tankerne. Vi hjælper med at definere omfanget og de nødvendige godkendelser.
Anmod om et skriftligt omfang