En test av DDoS-motstandsdyktighet genererer bevisst trafikk som skal sette forsvaret under press. Uten riktig autorisasjon kan den samme aktiviteten se nøyaktig ut som et angrep, og i mange jurisdiksjoner kan det å sende forstyrrende trafikk mot systemer uten tillatelse være straffbart. Autorisasjon er derfor ingen formalitet. Det er grunnlaget som gjør en test lovlig, trygg og nyttig. Denne guiden beskriver hva autorisasjon for DDoS-testing vanligvis innebærer, og hvilke parter som må være enige før noe trafikk sendes. Den er generell informasjon og ikke juridisk rådgivning.
Hva det er
Autorisasjon for en DDoS-test betyr at alle med en legitim interesse i målsystemene skriftlig har godtatt en definert test. Det omfatter normalt tjenestens forretningseier, den tekniske eieren og enhver leverandør som drifter en del av trafikkveien: driftsselskaper, skyplattformer, CDN-er, tjenester for DDoS-beskyttelse, internettleverandører og noen ganger operatører lenger opp i nettet. Å eie et domene eller betale for drift gir ikke i seg selv rett til å rette angrepslignende trafikk mot en leverandørs delte infrastruktur. Mange sky- og CDN-leverandører publiserer retningslinjer for testing; noen krever forhåndsvarsel, bruk av godkjente leverandører eller bestemte grenser, og noen forbyr visse typer tester. Utover tillatelsen dokumenterer autorisasjonen omfanget: måladresser og vertsnavn, trafikktyper, maksimale rater, tidsvinduer, ordninger for overvåking, navngitte kontaktpersoner på hver side og betingelser for at testen stoppes umiddelbart.
Hvem det er for
Denne guiden er relevant for:
- Sikkerhets- og infrastrukturansvarlige som planlegger en første test av DDoS-motstandsdyktighet
- Virksomheter som er avhengige av et CDN eller en beskyttelsestjeneste og vil kontrollere at den fungerer som forventet
- Innkjøpsteam som vurderer tilbud på DDoS-testing
- Ledere som må bekrefte det juridiske og kontraktsmessige grunnlaget før de godkjenner en test
Hva det hjelper med å klarlegge
Å gå gjennom autorisasjonen bidrar til å avklare:
- Hvilke systemer dere eier, og hvilke som driftes av leverandører hvis tillatelse kreves
- Om leverandørenes retningslinjer for testing begrenser trafikktyper, rater eller tidspunkt
- Hvem som kan stoppe testen når som helst, og hvordan de nås
- Hvilken forretningsmessig påvirkning som er akseptabel, og hva som vil utløse umiddelbar stans
Hva er inkludert
- Skriftlig autorisasjon signert av en person med myndighet over måltjenesten
- Oversikt over IP-adresser og vertsnavn innenfor omfanget, og leverandørene i trafikkveien
- Gjennomgang av hver leverandørs retningslinjer for testing og, der det kreves, deres skriftlige godkjenning eller varslingsreferanse
- Definerte trafikkscenarier, maksimale rater og varighet for hvert av dem
- Testvindu avtalt med forretningssiden, utenom perioder med høy trafikk og kritiske hendelser
- Navngitte kontaktpersoner på begge sider, med en testet kommunikasjonskanal
- Tydelige stoppbetingelser og en bekreftet metode for å stanse trafikken umiddelbart
- Enighet om overvåking, innsamling av bevis og hvordan resultatene skal rapporteres
Hva er ikke inkludert
- Testing mot systemer der autorisasjon fra eier eller leverandør mangler
- Juridisk rådgivning om strafferettslige, kontraktsmessige eller regulatoriske spørsmål
- Instruksjoner for å generere angrepstrafikk
- En påstand om at en test beviser immunitet mot reelle angrep
Når skal den velges
Start arbeidet med autorisasjon flere uker før den planlagte testdatoen, fordi godkjenninger fra leverandører kan ta tid. Gå gjennom den på nytt hver gang mål, leverandør eller vindu endres; en endring i noen av disse er en endring i omfanget, ikke en uformell justering. Hvis en leverandør avslår å godkjenne en test, respekter beslutningen og drøft alternativer, for eksempel testing av en kopi utenfor produksjon eller en gjennomgang av konfigurasjonen i stedet. Denne artikkelen er generell informasjon og ikke juridisk rådgivning.
Vår tilnærming
Vi behandler autorisasjon som en del av oppdraget, ikke som papirarbeid på forhånd. Omfanget bekreftes skriftlig, leverandørkrav identifiseres tidlig, og kunden innhenter eventuelle nødvendige godkjenninger fra tredjeparter. Tjenesten vår DDoS Resilience Testing evaluerer avtalte forstyrrelsesscenarier innenfor skriftlige grenser, med kontrollert observasjon, et sammendrag av svakheter i motstandsdyktigheten og prioriterte anbefalinger. Under testingen kan navngitte kontaktpersoner sette arbeidet på pause eller stoppe det når som helst. Oppdraget leverer dokumentasjon om det avtalte miljøet i testvinduet, og utbedring eller hendelseshåndtering avgrenses separat ved behov. Oppbevar autorisasjonspakken sammen med sluttrapporten; den dokumenterer betingelsene resultatene ble oppnådd under, noe som er viktig når resultatene drøftes senere.
Ofte stilte spørsmål
Beslektede artikler
Kom i gang
Planlegger dere en DDoS-test og er usikre på godkjenninger?
Fortell oss om tjenestene, leverandørene og tidspunktet dere ser for dere. Vi hjelper med å definere omfanget og godkjenningene som kreves.
Be om et skriftlig omfang