DDoSテストの許可・合法性・事業者の承認

何であるのか

DDoSテストの許可とは、対象システムに正当な利害を持つすべての関係者が、定められたテストについて書面で合意していることを意味します。通常は、サービスの事業上の所有者、技術上の所有者、そして経路の一部を運用する事業者が含まれます。ホスティング会社、クラウドプラットフォーム、CDN、DDoS対策サービス、ISP、場合によっては上位の通信事業者です。ドメインを所有している、あるいはホスティング料金を支払っているというだけでは、事業者の共有インフラに攻撃に似たトラフィックを向ける権利は得られません。多くのクラウドやCDNの事業者はテストに関するポリシーを公開しており、事前通知、承認済みベンダーの利用、特定の制限を求めるものや、特定の種類のテストを禁止するものもあります。許可は、承諾に加えてスコープも文書化します。対象のアドレスとホスト名、トラフィックの種類、最大レート、時間枠、監視体制、各当事者の指名連絡先、そしてテストを直ちに停止する条件です。

誰のために

本ガイドは次のような方に関係します。

• 初めてのDDoSレジリエンステストを計画しているセキュリティおよびインフラの責任者
• CDNやDDoS対策サービスを利用しており、期待どおりに機能するかを確認したい企業
• DDoSテストの提案書を評価している調達チーム
• テストを承認する前に、法的・契約上の根拠を確認する必要があるマネージャー

明確にするのに役立つこと

許可の手続きを進めることで、次の点が明確になります。

• どのシステムを自社が所有し、どのシステムが許可を要する事業者によって運用されているか
• 事業者のテストポリシーが、トラフィックの種類、レート、タイミングを制限していないか
• 誰がいつでもテストを停止でき、どのように連絡を取るか
• どの程度の業務影響が許容でき、何が直ちに停止するきっかけになるか

含まれる内容

• 対象サービスに対する権限を持つ人物が署名した書面による許可
• スコープ内のIPアドレス、ホスト名、トラフィック経路上の事業者の一覧
• 各事業者のテストポリシーの確認と、必要な場合はその書面による承認または通知の受付番号
• 定義したトラフィックシナリオと、それぞれの最大レートおよび継続時間
• ピーク期間や重要なイベントを避け、事業部門と合意したテスト期間
• 双方の指名連絡先と、事前に確認した連絡手段
• 明確な停止条件と、トラフィックを直ちに停止する確認済みの方法
• 監視、証跡の収集、結果の報告方法についての合意

含まれていないもの

• 所有者または事業者の許可がないシステムに対するテスト
• 刑事、契約、規制上の問題に関する法的助言
• 攻撃トラフィックを生成するための手順
• テストによって実際の攻撃への耐性が証明されるという主張

それを選ぶべきとき

事業者の承認には時間がかかることがあるため、予定しているテスト日の数週間前から許可の手続きを始めてください。対象、事業者、期間のいずれかが変わった場合は、そのたびに見直してください。これらの変更は非公式な調整ではなく、スコープの変更です。事業者がテストを承認しない場合は、その判断を尊重し、本番以外のレプリカでのテストや、設定のレビューなどの代替案を協議してください。本記事は一般的な情報であり、法的助言ではありません。

私たちのアプローチ

当社は、許可を事前の書類作業ではなく、契約業務の一部として扱います。スコープは書面で確認し、事業者の要件は早期に特定し、必要な第三者の承認はお客様が取得します。当社のDDoS Resilience Testing サービスは、合意した妨害シナリオを書面の制限内で評価し、管理された観測、レジリエンスのギャップの概要、優先順位付きの推奨事項を提供します。テスト中は、指名連絡先がいつでも作業を一時停止または停止できます。本サービスはテスト期間中の合意した環境について証跡を提供し、是正やインシデント対応が必要な場合は別途スコープを定めます。許可の書類一式は最終報告書と一緒に保管してください。結果が得られた条件を記録したものであり、後に結果を検討する際に重要になります。

DDoS Resilience Testing

よくある質問

関連記事