DDoS 테스트: 승인, 적법성, 제공업체 동의

무엇인가

DDoS 테스트 승인이란 대상 시스템에 정당한 이해관계를 가진 모든 당사자가 정의된 테스트에 서면으로 동의했다는 의미입니다. 일반적으로 서비스의 사업 소유자, 기술 소유자, 그리고 경로의 일부를 운영하는 제공업체가 포함됩니다. 호스팅 회사, 클라우드 플랫폼, CDN, DDoS 완화 서비스, ISP, 때로는 상위 통신사업자입니다. 도메인을 소유하거나 호스팅 비용을 지불한다고 해서 그것만으로 제공업체의 공유 인프라에 공격과 유사한 트래픽을 보낼 권리가 생기지는 않습니다. 많은 클라우드 및 CDN 제공업체가 테스트 정책을 공개하고 있으며, 일부는 사전 통지, 승인된 업체 이용 또는 특정 제한을 요구하고, 일부는 특정 테스트 유형을 금지합니다. 승인은 허가에 더해 범위도 문서화합니다. 대상 주소와 호스트명, 트래픽 유형, 최대 속도, 시간대, 모니터링 방식, 각 측의 지정 연락처, 테스트를 즉시 중단하는 조건입니다.

누구를 위한 것인가?

이 가이드는 다음과 같은 분들과 관련이 있습니다.

• 첫 DDoS 회복력 테스트를 계획하는 보안 및 인프라 책임자
• CDN이나 완화 서비스에 의존하며 그것이 기대대로 작동하는지 확인하려는 기업
• DDoS 테스트 제안서를 평가하는 구매 팀
• 테스트를 승인하기 전에 법적·계약적 근거를 확인해야 하는 관리자

무엇을 명확히 하는 데 도움이 되는지

승인 절차를 진행하면 다음이 명확해집니다.

• 어떤 시스템을 귀사가 소유하고 어떤 시스템을 허가가 필요한 제공업체가 운영하는지
• 제공업체의 테스트 정책이 트래픽 유형, 속도 또는 시기를 제한하는지
• 누가 언제든 테스트를 중단할 수 있으며 어떻게 연락할 것인지
• 어느 정도의 비즈니스 영향이 허용되고 무엇이 즉시 중단을 촉발하는지

포함된 내용

• 대상 서비스에 대한 권한을 가진 사람이 서명한 서면 승인
• 범위 내 IP 주소, 호스트명, 트래픽 경로상의 제공업체 목록
• 각 제공업체의 테스트 정책 검토와, 필요한 경우 서면 승인 또는 통지 접수 번호
• 정의된 트래픽 시나리오와 각각의 최대 속도 및 지속 시간
• 피크 기간과 중요한 행사를 피해 사업 부서와 합의한 테스트 기간
• 양측의 지정 연락처와 사전에 확인한 소통 채널
• 명확한 중단 조건과 트래픽을 즉시 멈추는 확인된 방법
• 모니터링, 증거 수집, 결과 보고 방식에 대한 합의

포함되지 않은 것

• 소유자나 제공업체의 승인이 없는 시스템에 대한 테스트
• 형사, 계약 또는 규제 문제에 관한 법률 자문
• 공격 트래픽 생성 방법 안내
• 테스트가 실제 공격에 대한 면역을 입증한다는 주장

선택해야 할 때

제공업체 승인에는 시간이 걸릴 수 있으므로 예정된 테스트 날짜보다 몇 주 전에 승인 작업을 시작하십시오. 대상, 제공업체 또는 기간이 바뀔 때마다 다시 검토하십시오. 이 중 하나라도 바뀌면 비공식적인 조정이 아니라 범위의 변경입니다. 제공업체가 테스트 승인을 거부하면 그 결정을 존중하고, 운영 환경이 아닌 복제본 테스트나 설정 검토 같은 대안을 논의하십시오. 이 글은 일반 정보이며 법률 자문이 아닙니다.

우리의 접근 방식

당사는 승인을 사전 서류 작업이 아니라 업무의 일부로 다룹니다. 범위는 서면으로 확인하고, 제공업체 요구 사항은 초기에 파악하며, 필요한 제3자 승인은 고객이 취득합니다. 당사의 DDoS Resilience Testing 서비스는 합의된 방해 시나리오를 서면 제한 내에서 평가하며, 통제된 관찰, 회복력 갭 요약, 우선순위가 매겨진 권고를 제공합니다. 테스트 중에는 지정 연락처가 언제든 작업을 일시 중지하거나 중단할 수 있습니다. 이 업무는 테스트 기간 동안 합의된 환경에 대한 증거를 제공하며, 필요한 경우 조치나 인시던트 대응은 별도로 범위를 정합니다. 승인 문서 일체를 최종 보고서와 함께 보관하십시오. 결과가 얻어진 조건을 기록한 것으로, 나중에 결과를 논의할 때 중요합니다.

DDoS Resilience Testing

자주 묻는 질문

관련 기사