Testy DDoS: autoryzacja, legalność i zgoda dostawcy

Test odporności na DDoS celowo generuje ruch, którego zadaniem jest obciążenie Państwa zabezpieczeń. Bez właściwej autoryzacji ta sama aktywność może wyglądać dokładnie jak atak, a w wielu jurysdykcjach wysyłanie zakłócającego ruchu do systemów bez zgody może stanowić przestępstwo. Autoryzacja nie jest więc formalnością. To fundament, który sprawia, że test jest legalny, bezpieczny i użyteczny. Ten przewodnik przedstawia, co zwykle obejmuje autoryzacja testów DDoS i które strony muszą wyrazić zgodę, zanim zostanie wysłany jakikolwiek ruch. Ma on charakter informacji ogólnej i nie stanowi porady prawnej.

Co to jest

Autoryzacja testu DDoS oznacza, że wszyscy, którzy mają uzasadniony interes w systemach docelowych, wyrazili na piśmie zgodę na określony test. Zwykle obejmuje to biznesowego właściciela usługi, właściciela technicznego oraz każdego dostawcę obsługującego część ścieżki ruchu: firmy hostingowe, platformy chmurowe, sieci CDN, usługi ochrony przed DDoS, dostawców internetu (ISP), a czasem także operatorów nadrzędnych. Posiadanie domeny lub opłacanie hostingu samo w sobie nie daje prawa do kierowania ruchu przypominającego atak na współdzieloną infrastrukturę dostawcy. Wielu dostawców chmury i CDN publikuje zasady dotyczące testów; niektórzy wymagają wcześniejszego powiadomienia, korzystania z zatwierdzonych wykonawców lub określonych limitów, a niektórzy zakazują pewnych rodzajów testów. Poza samą zgodą autoryzacja dokumentuje zakres: adresy i nazwy hostów docelowych, rodzaje ruchu, maksymalne natężenia, okna czasowe, ustalenia dotyczące monitorowania, osoby kontaktowe po każdej stronie oraz warunki, w których test zostaje natychmiast przerwany.

Dla kogo

Ten przewodnik jest istotny dla:

Liderów ds. bezpieczeństwa i infrastruktury planujących pierwszy test odporności na DDoS
Firm korzystających z CDN lub usługi ochrony przed DDoS, które chcą sprawdzić, czy działa ona zgodnie z oczekiwaniami
Zespołów zakupowych oceniających oferty testów DDoS
Menedżerów, którzy przed zatwierdzeniem testu muszą potwierdzić jego podstawę prawną i umowną

Co pomaga wyjaśnić

Przejście przez proces autoryzacji pomaga wyjaśnić:

Które systemy należą do Państwa, a które są obsługiwane przez dostawców, których zgoda jest potrzebna
Czy zasady testowania dostawców ograniczają rodzaje ruchu, natężenia lub terminy
Kto może w każdej chwili zatrzymać test i jak można się z nim skontaktować
Jaki wpływ na biznes jest akceptowalny i co spowodowałoby natychmiastowe przerwanie

Co jest zawarte

Pisemna autoryzacja podpisana przez osobę uprawnioną do decydowania o usłudze docelowej
Wykaz objętych zakresem adresów IP, nazw hostów i dostawców na ścieżce ruchu
Przegląd zasad testowania każdego dostawcy oraz, jeśli jest wymagana, jego pisemna zgoda lub numer referencyjny powiadomienia
Określone scenariusze ruchu, maksymalne natężenia i czas trwania każdego z nich
Okno testowe uzgodnione z zespołami biznesowymi, z pominięciem okresów szczytowych i krytycznych wydarzeń
Osoby kontaktowe po obu stronach oraz sprawdzony kanał komunikacji
Jasne warunki przerwania i potwierdzony sposób natychmiastowego zatrzymania ruchu
Uzgodnienia dotyczące monitorowania, gromadzenia dowodów i sposobu raportowania wyników

Co nie jest uwzględnione

Testów systemów, w przypadku których brakuje autoryzacji właściciela lub dostawcy
Porad prawnych w kwestiach karnych, umownych lub regulacyjnych
Instrukcji generowania ruchu atakującego
Twierdzenia, że test dowodzi odporności na rzeczywiste ataki

Kiedy to wybrać

Prace nad autoryzacją należy rozpocząć kilka tygodni przed planowanym terminem testu, ponieważ uzyskanie zgód dostawców może wymagać czasu. Trzeba do nich wracać przy każdej zmianie celu, dostawcy lub okna testowego; zmiana któregokolwiek z tych elementów jest zmianą zakresu, a nie nieformalną korektą. Jeśli dostawca odmówi zgody na test, należy uszanować tę decyzję i omówić alternatywy, takie jak testowanie nieprodukcyjnej repliki lub przegląd konfiguracji. Ten artykuł ma charakter informacji ogólnej i nie stanowi porady prawnej.

Nasze podejście

Traktujemy autoryzację jako część projektu, a nie wcześniejszą papierologię. Zakres jest potwierdzany na piśmie, wymagania dostawców są identyfikowane na wczesnym etapie, a klient uzyskuje wszelkie potrzebne zgody stron trzecich. Nasza usługa DDoS Resilience Testing ocenia uzgodnione scenariusze zakłóceń w pisemnie określonych granicach, z kontrolowaną obserwacją, podsumowaniem luk w odporności i priorytetowymi zaleceniami. W trakcie testów wskazane osoby kontaktowe mogą w każdej chwili wstrzymać lub zatrzymać prace. Projekt dostarcza dowodów dotyczących uzgodnionego środowiska w oknie testowym, a działania naprawcze lub reagowanie na incydenty, jeśli są potrzebne, mają odrębnie określony zakres. Pakiet autoryzacyjny warto przechowywać wraz z raportem końcowym; dokumentuje on warunki, w jakich uzyskano wyniki, co ma znaczenie, gdy wyniki są później omawiane.

DDoS Resilience Testing

Zobacz stronę usługi DDoS Resilience Testing