DDoS 韧性测试会刻意产生流量，用来对您的防御能力施加压力。如果没有适当授权，同样的活动看起来与攻击毫无二致，而且在许多司法管辖区，未经许可向系统发送破坏性流量可能构成刑事犯罪。因此，授权绝非形式。它是让测试合法、安全且有价值的基础。本指南说明 DDoS 测试授权通常涉及哪些内容，以及在发送任何流量之前需要哪些相关方同意。本文仅为一般性信息，不构成法律建议。
服务简介
DDoS 测试授权是指，所有对目标系统拥有正当利益的相关方都已书面同意一项明确界定的测试。这通常包括服务的业务所有者、技术所有者，以及运营流量路径中任何环节的服务商：托管公司、云平台、CDN、DDoS 缓解服务、ISP，有时还包括上游运营商。拥有域名或支付托管费用，本身并不赋予您向服务商共享基础设施发送类攻击流量的权利。许多云服务和 CDN 服务商都公布了测试政策；有些要求提前通知、使用经批准的供应商或遵守特定限制，有些则禁止某些测试类型。除许可之外，授权文件还记录测试范围：目标地址和主机名、流量类型、最大速率、时间窗口、监控安排、各方指定联系人，以及测试须立即停止的条件。
适用对象
本指南适用于：
- 正在规划首次 DDoS 韧性测试的安全与基础设施负责人
- 依赖 CDN 或缓解服务、希望验证其是否按预期运作的企业
- 正在评估 DDoS 测试方案的采购团队
- 在批准测试前需要确认法律和合同依据的管理者
帮助厘清的问题
梳理授权事项，有助于厘清：
- 哪些系统归您所有，哪些由需要征得其许可的服务商运营
- 服务商的测试政策是否对流量类型、速率或时间有所限制
- 谁可以随时停止测试，以及如何联系到他们
- 哪些业务影响可以接受，哪些情况会触发立即停止
包含内容
- 由对目标服务拥有决定权的人员签署的书面授权
- 范围内 IP 地址、主机名以及流量路径中各服务商的清单
- 审查每家服务商的测试政策，并在有要求时取得其书面批准或通知编号
- 明确的流量场景，以及每个场景的最大速率和持续时间
- 与业务团队约定的测试时间窗口，避开高峰期和关键活动
- 双方的指定联系人，以及经过测试的沟通渠道
- 明确的停止条件，以及经确认可立即停止流量的方法
- 就监控、证据收集以及结果报告方式达成一致
不包含内容
- 在缺少所有者或服务商授权的情况下对系统进行测试
- 关于刑事、合同或监管问题的法律建议
- 生成攻击流量的操作说明
- 声称测试能证明系统可免受真实攻击
适用时机
请在计划测试日期前数周开始授权工作，因为服务商的批准可能需要一定时间。每当目标、服务商或时间窗口发生变化时，都应重新审视授权；其中任何一项的变化都属于范围变更，而非非正式的调整。如果服务商拒绝批准测试，请尊重该决定并讨论替代方案，例如测试非生产环境的副本，或改为审查配置。本文仅为一般性信息，不构成法律建议。
我们的方法
我们将授权视为项目的一部分，而不是事前的文书工作。范围以书面形式确认，服务商要求会尽早识别，并由客户取得所需的任何第三方批准。我们的 DDoS Resilience Testing 服务在书面约定的限制内评估约定的中断场景，提供受控观察、韧性差距摘要以及按优先级排列的建议。测试期间，指定联系人可以随时暂停或停止工作。本项目针对测试窗口期内的约定环境提供证据，如有需要，修复或事件响应工作将另行确定范围。请将授权文件包与最终报告一并保存；它记录了获得结果时的条件，这在日后讨论结果时十分重要。
常见问题
相关文章
立即开始
正在规划 DDoS 测试，但不确定需要哪些批准？
请告诉我们您考虑测试的服务、相关服务商和时间安排。我们将帮助您确定范围以及所需的批准。
申请书面范围说明