Kiểm thử DDoS: Ủy quyền, tính hợp pháp và phê duyệt nhà cung cấp

Đây là gì

Ủy quyền cho một bài kiểm thử DDoS nghĩa là mọi bên có lợi ích chính đáng đối với hệ thống mục tiêu đều đã đồng ý bằng văn bản với một bài kiểm thử được xác định rõ. Thông thường, điều đó bao gồm chủ sở hữu nghiệp vụ của dịch vụ, chủ sở hữu kỹ thuật và mọi nhà cung cấp vận hành một phần đường truyền: công ty lưu trữ, nền tảng đám mây, CDN, dịch vụ giảm thiểu DDoS, nhà cung cấp dịch vụ Internet (ISP) và đôi khi cả các nhà mạng thượng nguồn. Việc sở hữu một tên miền hay trả phí lưu trữ tự nó không cho bạn quyền hướng lưu lượng mang tính tấn công vào hạ tầng dùng chung của nhà cung cấp. Nhiều nhà cung cấp đám mây và CDN công bố chính sách kiểm thử; một số yêu cầu thông báo trước, sử dụng đơn vị kiểm thử được phê duyệt hoặc tuân thủ các giới hạn cụ thể, và một số cấm một số loại kiểm thử nhất định. Ngoài sự cho phép, văn bản ủy quyền còn ghi nhận phạm vi: địa chỉ và tên máy chủ mục tiêu, loại lưu lượng, tốc độ tối đa, khung thời gian, cách thức giám sát, đầu mối liên hệ được chỉ định ở mỗi bên và các điều kiện khiến bài kiểm thử dừng ngay lập tức.

Dành cho ai

Hướng dẫn này phù hợp với:

• Người phụ trách bảo mật và hạ tầng đang lên kế hoạch cho bài kiểm thử khả năng chống chịu DDoS đầu tiên
• Doanh nghiệp dựa vào CDN hoặc dịch vụ giảm thiểu và muốn xác minh dịch vụ đó hoạt động như mong đợi
• Đội ngũ mua sắm đang đánh giá các đề xuất kiểm thử DDoS
• Nhà quản lý cần xác nhận cơ sở pháp lý và hợp đồng trước khi phê duyệt một bài kiểm thử

Giúp làm rõ điều gì

Thực hiện đầy đủ việc ủy quyền giúp làm rõ:

• Hệ thống nào do bạn sở hữu và hệ thống nào do các nhà cung cấp vận hành mà cần có sự cho phép của họ
• Chính sách kiểm thử của nhà cung cấp có hạn chế loại lưu lượng, tốc độ hoặc thời điểm hay không
• Ai có thể dừng bài kiểm thử bất cứ lúc nào và họ sẽ được liên hệ bằng cách nào
• Mức ảnh hưởng nghiệp vụ nào là chấp nhận được và điều gì sẽ kích hoạt việc dừng ngay lập tức

Những gì được bao gồm

• Ủy quyền bằng văn bản do người có thẩm quyền đối với dịch vụ mục tiêu ký
• Danh mục các địa chỉ IP, tên máy chủ trong phạm vi và các nhà cung cấp trên đường truyền lưu lượng
• Xem xét chính sách kiểm thử của từng nhà cung cấp và, khi được yêu cầu, văn bản phê duyệt hoặc số tham chiếu thông báo của họ
• Các kịch bản lưu lượng được xác định, tốc độ tối đa và thời lượng cho từng kịch bản
• Khung thời gian kiểm thử được thống nhất với các bộ phận nghiệp vụ, tránh giờ cao điểm và các sự kiện quan trọng
• Đầu mối liên hệ được chỉ định ở cả hai bên, với kênh liên lạc đã được thử
• Điều kiện dừng rõ ràng và phương thức đã được xác nhận để dừng lưu lượng ngay lập tức
• Thống nhất về giám sát, thu thập bằng chứng và cách thức báo cáo kết quả

Những gì không được bao gồm

• Kiểm thử đối với hệ thống chưa có ủy quyền từ chủ sở hữu hoặc nhà cung cấp
• Tư vấn pháp lý về các vấn đề hình sự, hợp đồng hoặc quy định
• Hướng dẫn tạo lưu lượng tấn công
• Khẳng định rằng một bài kiểm thử chứng minh khả năng miễn nhiễm trước các cuộc tấn công thực tế

Khi nào nên chọn

Hãy bắt đầu công việc ủy quyền vài tuần trước ngày dự kiến kiểm thử, vì việc phê duyệt của nhà cung cấp có thể mất thời gian. Hãy xem xét lại mỗi khi mục tiêu, nhà cung cấp hoặc khung thời gian thay đổi; thay đổi ở bất kỳ yếu tố nào trong số này là thay đổi phạm vi, không phải một điều chỉnh không chính thức. Nếu nhà cung cấp từ chối phê duyệt bài kiểm thử, hãy tôn trọng quyết định đó và trao đổi các phương án thay thế, chẳng hạn kiểm thử trên một bản sao không phải môi trường production hoặc chuyển sang rà soát cấu hình. Bài viết này là thông tin chung và không phải là tư vấn pháp lý.

Phương pháp của chúng tôi

Chúng tôi coi ủy quyền là một phần của hợp đồng dịch vụ, không phải giấy tờ làm trước cho xong. Phạm vi được xác nhận bằng văn bản, các yêu cầu của nhà cung cấp được xác định sớm và khách hàng là bên xin mọi phê duyệt cần thiết từ nhà cung cấp bên thứ ba. Dịch vụ DDoS Resilience Testing của chúng tôi đánh giá các kịch bản gián đoạn đã thống nhất trong các giới hạn bằng văn bản, với quan sát có kiểm soát, bản tóm tắt các khoảng trống về khả năng chống chịu và các khuyến nghị được ưu tiên. Trong quá trình kiểm thử, các đầu mối liên hệ được chỉ định có thể tạm dừng hoặc dừng công việc bất cứ lúc nào. Hợp đồng dịch vụ cung cấp bằng chứng về môi trường đã thống nhất trong khoảng thời gian kiểm thử, và việc khắc phục hoặc ứng phó sự cố được xác định phạm vi riêng nếu cần. Hãy lưu bộ hồ sơ ủy quyền cùng với báo cáo cuối cùng; bộ hồ sơ này ghi lại các điều kiện mà kết quả được thu thập, điều quan trọng khi kết quả được thảo luận về sau.

DDoS Resilience Testing

Câu hỏi thường gặp

Bài viết liên quan