Réalisation de tests d'intrusion

Les tests de l'équipe rouge/bleue/violette sont des simulations de sécurité contradictoires conçues pour tester la sensibilisation à la sécurité et les temps de réaction d'une organisation

Les clients souhaitant effectuer des simulations secrètes de sécurité adverses et/ou héberger des systèmes de commandement et de contrôle (C2) doivent soumettre un formulaire d'événements simulés pour examen. 

Le test de stress est un test de performance qui envoie un grand volume de trafic légitime ou de test à une application cible spécifique afin de garantir une capacité opérationnelle efficace. L'application de point de terminaison est censée remplir sa fonction prévue dans le cadre du test. Toute tentative de submerger la cible est considérée comme un déni de service (DoS).

Les clients qui souhaitent effectuer un test de résistance du réseau doivent consulter notre politique de test de résistance. 

iPerf est un outil de mesure et de réglage des performances du réseau. Il s'agit d'un outil multiplateforme qui peut produire des mesures de performance standardisées pour n'importe quel réseau.

Les clients souhaitant effectuer des tests iPerf doivent soumettre un formulaire d'événements simulés pour examen. 

Les attaques par déni de service distribué (DDoS) surviennent lorsque des personnes malveillantes ont recours à une attaque par saturation de trafic provenant de sources multiples dans le but de tenter d'affecter la disponibilité d'une application ciblée. Le test de simulation de DDoS utilise une attaque DDoS contrôlée afin de permettre au propriétaire d'une application d'évaluer la résilience de l'application et de se préparer à réagir aux événements.

Les clients qui souhaitent effectuer un test de simulation DDoS doivent consulter notre politique de test de simulation DDoS. 

Le simulation de hameçonnage est la simulation d'une tentative d'attaque d'ingénierie sociale visant à obtenir des informations sensibles de la part des utilisateurs. L'objectif est d'identifier les utilisateurs et de les sensibiliser à la différence entre les courriels valides et les courriels d'hameçonnage afin d'accroître la sécurité de l'organisation.

Les clients souhaitant réaliser des campagnes de simulation d'hameçonnage doivent soumettre un formulaire de simulation d'événements pour examen. 

Le test des logiciels malveillants est la pratique consistant à soumettre des fichiers ou des programmes malveillants à des applications ou à des programmes antivirus afin d'améliorer les fonctions de sécurité.

Les clients souhaitant effectuer des tests de logiciels malveillants doivent soumettre un formulaire d'événements simulés pour examen. 

AWS s'engage à vous répondre rapidement et à vous tenir au courant du traitement de votre demande. Veuillez soumettre un formulaire de simulation d'événements  pour nous contacter directement. (Pour les clients opérant dans la région AWS China (Ningxia & Beijing), veuillez utiliser ce formulaire d'événements simulés.)

Veillez à inclure les dates, les identifiants de compte concernés, les actifs concernés et les informations de contact, y compris le numéro de téléphone et la description détaillée des événements prévus. Dans les 2 jours ouvrables suivant votre premier message, vous recevrez une réponse non automatisée confirmant la réception de votre demande.

Toutes les demandes d'événements simulés doivent être soumises à la PIC au moins deux (2) semaines avant la date de début.

Aucune autre action de votre part n'est requise après la réception de notre autorisation. Vous pouvez effectuer votre test pendant toute la période que vous avez indiquée.

La politique AWS relative à l'utilisation des outils et services d'évaluation de la sécurité permet une grande flexibilité dans la réalisation d'évaluations de la sécurité de vos ressources AWS, tout en protégeant les autres clients AWS et en garantissant la qualité du service sur AWS.

AWS comprend qu'il existe une variété d'outils et de services publics, privés, commerciaux et/ou open source parmi lesquels choisir à des fins d'évaluation de la sécurité de vos ressources AWS. Les termes « évaluation de la sécurité » font référence à toutes les activités menées dans le but de déterminer l'efficacité ou l'existence de contrôles de sécurité au sein de vos ressources AWS, tels que l'analyse des ports, l'analyses ou les vérifications de vulnérabilité, les tests d'intrusion, l'exploitation, l'analyse des applications Web, ainsi que toute activité d'injection, de falsification ou de test à données aléatoires, réalisée à distance sur vos ressources AWS, au sein ou entre vos ressources AWS, ou localement dans les ressources virtualisées elles-mêmes.

Vous n'êtes PAS limité dans votre sélection d'outils ou de services pour réaliser une évaluation de la sécurité de vos ressources AWS. Toutefois, vous ne pouvez PAS utiliser d'outils ou de services de manière à réaliser des attaques ou des simulations de déni de service (DoS) contre N'IMPORTE QUELLE ressource AWS, qu'elles vous appartiennent ou non. Les clients qui souhaitent effectuer un test de simulation DDoS doivent consulter notre politique de test de simulation DDoS.

Un outil de sécurité qui effectue uniquement une demande à distance de votre ressource AWS afin de découvrir le nom et la version d'un logiciel, comme « banner grabbing » à des fins de comparaison avec une liste de versions connues pour être vulnérables aux DoS, n'entre PAS en violation avec cette stratégique.

En outre, un service ou outil de sécurité qui provoque uniquement le crash d'un processus en cours d'exécution sur votre ressource AWS, temporaire ou non, selon les besoins pour une exploitation à distance ou locale dans le cadre de l'évaluation de la sécurité, n'entre PAS en violation avec cette politique. Toutefois, cet outil ne doit PAS générer de saturation des protocoles ou des requêtes de ressources, tel que mentionné ci-dessus.
 Un outil ou service de sécurité qui crée ou démontre une situation de DoS, ou en détermine l'existence DE QUELQUE AUTRE FAÇON QUE CE SOIT, réelle ou simulée, est strictement interdit.

Certains outils ou services incluent des capacités de DoS telles que décrites, de manière silencieuse ou inhérente, s'ils sont utilisés de manière inappropriée ou en tant que test ou vérification explicite, ou fonctionnalité de l'outil ou du service. Tout outil ou service de sécurité disposant d'une telle capacité de DoS doit avoir la capacité explicite de DÉSACTIVER, DÉSARMER ou rendre INOFFENSIF cette capacité de DoS. Dans le cas contraire, cet outil ou service ne doit PAS être utilisé pour AUCUNE étape de l'évaluation de la sécurité.

Le client AWS porte l'entière responsabilité de : (1) s'assurer que les outils et services utilisés pour la réalisation d'une évaluation de la sécurité sont correctement configurés et fonctionnent correctement, de manière à ne pas effectuer d'attaques ou de simulations de DoS, et (2) attester de manière indépendante que l'outil ou le service utilisé ne réalise aucune attaque ou simulation de DoS de ce type, AVANT de réaliser l'évaluation de la sécurité de n'importe quelle ressource AWS. La responsabilité dudit client AWS implique notamment de veiller à ce que des tierces parties sous contrat réalisent des évaluations de la sécurité en respectant les termes de cette politique.

En outre, vous êtes responsable de tout dommage causé à AWS ou à d'autres clients d'AWS par vos activités de test ou d'évaluation de la sécurité.