DDoS-test: auktorisering, laglighet och leverantörsgodkännande

Ett test av DDoS-motståndskraft genererar avsiktligt trafik som ska sätta ert skydd under press. Utan korrekt auktorisering kan samma aktivitet se ut precis som en attack, och i många jurisdiktioner kan det vara brottsligt att skicka störande trafik mot system utan tillstånd. Auktorisering är därför ingen formalitet. Den är grunden som gör ett test lagligt, säkert och användbart. Den här guiden beskriver vad auktorisering för DDoS-test vanligtvis innebär och vilka parter som måste vara överens innan någon trafik skickas. Den är allmän information och inte juridisk rådgivning.

Vad det är

Auktorisering för ett DDoS-test innebär att alla med ett legitimt intresse i målsystemen skriftligen har godkänt ett definierat test. Det omfattar normalt tjänstens verksamhetsägare, den tekniska ägaren och varje leverantör som driver en del av trafikvägen: hostingföretag, molnplattformar, CDN:er, tjänster för DDoS-skydd, internetleverantörer och ibland operatörer längre upp i nätet. Att äga en domän eller betala för hosting ger inte i sig rätt att rikta attackliknande trafik mot en leverantörs delade infrastruktur. Många moln- och CDN-leverantörer publicerar policyer för testning; vissa kräver förhandsbesked, användning av godkända leverantörer eller särskilda gränser, och vissa förbjuder vissa typer av tester. Utöver tillståndet dokumenterar auktoriseringen omfattningen: måladresser och värdnamn, trafiktyper, högsta nivåer, tidsfönster, arrangemang för övervakning, namngivna kontaktpersoner på varje sida och villkor under vilka testet omedelbart stoppas.

Vem det är för

Guiden är relevant för:

Säkerhets- och infrastrukturansvariga som planerar ett första test av DDoS-motståndskraft
Företag som förlitar sig på ett CDN eller en skyddstjänst och vill kontrollera att den fungerar som förväntat
Inköpsteam som utvärderar anbud på DDoS-test
Chefer som behöver bekräfta den juridiska och avtalsmässiga grunden innan de godkänner ett test

Vad det hjälper till att klargöra

Att gå igenom auktoriseringen hjälper till att klargöra:

Vilka system ni äger och vilka som drivs av leverantörer vars tillstånd behövs
Om leverantörernas testpolicyer begränsar trafiktyper, nivåer eller tidpunkter
Vem som kan stoppa testet när som helst och hur de nås
Vilken verksamhetspåverkan som är acceptabel och vad som skulle utlösa ett omedelbart stopp

Vad ingår

Skriftlig auktorisering undertecknad av någon med befogenhet över måltjänsten
Förteckning över IP-adresser och värdnamn inom omfattningen samt leverantörerna i trafikvägen
Granskning av varje leverantörs testpolicy och, där det krävs, deras skriftliga godkännande eller referens för förhandsbesked
Definierade trafikscenarier, högsta nivåer och varaktighet för vart och ett
Testfönster överenskommet med verksamheten, utanför toppbelastning och kritiska händelser
Namngivna kontaktpersoner på båda sidor, med en testad kommunikationskanal
Tydliga stoppvillkor och en bekräftad metod för att omedelbart stoppa trafiken
Överenskommelse om övervakning, insamling av belägg och hur resultaten ska rapporteras

Vad som inte ingår

Testning mot system där auktorisering från ägare eller leverantör saknas
Juridisk rådgivning i straffrättsliga, avtalsrättsliga eller regulatoriska frågor
Instruktioner för att generera attacktrafik
Ett påstående om att ett test bevisar immunitet mot verkliga attacker

När det passar att välja den

Börja arbetet med auktorisering flera veckor före det planerade testdatumet, eftersom godkännanden från leverantörer kan ta tid. Se över den varje gång mål, leverantör eller fönster ändras; en ändring av något av dessa är en ändring av omfattningen, inte en informell justering. Om en leverantör avböjer att godkänna ett test, respektera beslutet och diskutera alternativ, till exempel att testa en kopia utanför produktion eller att granska konfigurationen i stället. Den här artikeln är allmän information och inte juridisk rådgivning.

Vår strategi

Vi behandlar auktorisering som en del av uppdraget, inte som pappersarbete i förväg. Omfattningen bekräftas skriftligt, leverantörskrav identifieras tidigt och kunden inhämtar de godkännanden från tredje part som behövs. Vår tjänst DDoS Resilience Testing utvärderar överenskomna störningsscenarier inom skriftliga gränser, med kontrollerad observation, en sammanfattning av brister i motståndskraften och prioriterade rekommendationer. Under testningen kan namngivna kontaktpersoner pausa eller stoppa arbetet när som helst. Uppdraget ger belägg om den överenskomna miljön under testfönstret, och åtgärder eller incidenthantering avgränsas separat vid behov. Spara auktoriseringspaketet tillsammans med slutrapporten; det dokumenterar under vilka villkor resultaten togs fram, vilket spelar roll när resultaten diskuteras senare.

DDoS Resilience Testing

Visa tjänstesidan för DDoS Resilience Testing