Pengujian Penetrasi

Pelanggan AWS dipersilakan untuk melakukan penilaian keamanan atau uji penetrasi terhadap infrastruktur AWS mereka tanpa persetujuan sebelumnya untuk layanan yang tercantum di bagian berikutnya di bawah "Layanan yang Diizinkan". Selain itu, AWS mengizinkan pelanggan untuk meng-hosting alat penilaian keamanan mereka dalam ruang IP AWS atau penyedia cloud lainnya untuk pengujian yang dikontrak on-prem, di AWS, atau pihak ketiga. Semua pengujian keamanan yang mencakup Perintah dan Kontrol (Command and Control/C2) memerlukan persetujuan terlebih dahulu.

Pastikan bahwa aktivitas ini sejalan dengan kebijakan yang ditetapkan di bawah ini. Catatan: Pelanggan tidak dibenarkan melaksanakan penilaian keamanan apa pun terhadap infrastruktur AWS atau layanan AWS itu sendiri. Jika Anda menemukan masalah keamanan dalam layanan AWS mana pun yang terlihat dalam penilaian keamanan, segera hubungi AWS Security.

Jika AWS menerima laporan penyalahgunaan terkait dengan aktivitas pengujian keamanan Anda, kami akan meneruskannya kepada Anda. Saat merespons, harap berikan kami perincian kasus penggunaan Anda dalam bahasa yang disetujui, termasuk titik kontak yang dapat kami bagikan dengan pelapor pihak ketiga mana pun. Pelajari selengkapnya di sini.

Reseller layanan AWS bertanggung jawab atas aktivitas pengujian keamanan pelanggan mereka.

Semua Pengujian Keamanan harus sejalan dengan Syarat dan Ketentuan Pengujian Keamanan AWS.

Pengujian Keamanan:

• Akan dibatasi pada layanan, bandwidth jaringan, permintaan per menit, dan tipe instans.
• Tunduk pada ketentuan Perjanjian Pelanggan Amazon Web Services antara Anda dan AWS
• Akan mematuhi kebijakan AWS tentang penggunaan alat dan layanan penilaian keamanan, disertakan di bagian berikut ini

Setiap penemuan kerentanan atau masalah lain yang merupakan hasil langsung dari alat atau layanan AWS harus disampaikan ke AWS Security dalam waktu 24 jam setelah penyelesaian pengujian.

Kebijakan AWS terkait penggunaan alat dan layanan penilaian keamanan memungkinkan fleksibilitas yang signifikan untuk melakukan penilaian keamanan atas aset AWS Anda sekaligus melindungi pelanggan AWS lainnya dan memastikan kualitas layanan di seluruh AWS.

AWS memahami adanya berbagai macam alat dan layanan publik, pribadi, komersial, dan/atau sumber terbuka yang dapat dipilih untuk melakukan penilaian keamanan pada aset AWS Anda. Istilah “penilaian keamanan” merujuk pada semua kegiatan yang terlibat untuk menentukan efikasi atau eksistensi kontrol keamanan di antara banyak aset AWS Anda, misalnya pemindaian port, pemindaian/pemeriksaan kerentanan, pengujian penetrasi, eksploitasi, pemindaian aplikasi web, serta berbagai injeksi, pemalsuan, atau kegiatan penyamaran, baik dilakukan dari jarak jauh terhadap aset AWS, di antara banyak/dua aset AWS Anda, maupun secara lokal dalam aset yang divirtualisasi itu sendiri.

Anda TIDAK dibatasi dalam memilih alat atau layanan untuk melakukan penilaian keamanan atas aset AWS. Tetapi, Anda DILARANG menggunakan alat atau layanan apa pun yang dapat melakukan serangan Denial-of-Service (DoS) atau simulasi semacam itu terhadap aset AWS APA PUN, baik itu milik Anda, atau lainnya. Pelanggan yang ingin melakukan pengujian simulasi DDoS harus meninjau kebijakan Pengujian Simulasi DDoS kami.

Alat keamanan yang semata-mata melakukan kueri jarak jauh pada aset AWS Anda untuk menentukan nama dan versi perangkat lunak, seperti “banner grabbing”, untuk tujuan perbandingan pada daftar versi yang dikenal rentan terhadap DoS, TIDAK melanggar kebijakan ini.

Selain itu, alat atau layanan keamanan yang semata-mata merusak proses yang berjalan pada aset AWS Anda, untuk sementara atau lainnya, sesuai keperluan untuk eksploitasi jarak jauh atau lokal sebagai bagian dari penilaian keamanan, TIDAK melanggar kebijakan ini. Namun, alat ini mungkin TIDAK memiliki protocol flooding atau resource request flooding, seperti yang telah disebutkan di atas.

Alat atau layanan keamanan yang membuat, menentukan eksistensi, atau menunjukkan kondisi DoS dalam cara APA PUN, aktual atau simulasi, secara tegas dilarang.

Beberapa alat atau layanan memiliki kemampuan DoS aktual seperti yang dijelaskan, baik secara implisit/inheren, jika digunakan secara tidak wajar atau sebagai pengujian/pemeriksaan eksplisit atau fitur dari alat atau layanan tersebut. Semua alat atau layanan keamanan yang memiliki kemampuan DoS semacam itu, harus memiliki kemampuan eksplisit untuk MENONAKTIFKAN atau MENGHILANGKAN kemampuan DoS tersebut, atau mengubahnya menjadi TIDAK BERBAHAYA. Jika tidak demikian, alat atau layanan tersebut TIDAK akan digunakan untuk faset APA PUN pada penilaian keamanan.

Satu-satunya tanggung jawab pelanggan AWS adalah: (1) memastikan alat dan layanan yang digunakan untuk melakukan penilaian keamanan dikonfigurasi dengan benar dan berhasil beroperasi tanpa melakukan serangan DoS atau simulasinya, dan (2) memvalidasi secara independen bahwa alat atau layanan yang digunakan tidak melakukan serangan DoS atau simulasinya, SEBELUM penilaian keamanan terhadap aset AWS apa pun. Tanggung jawab pelanggan AWS ini termasuk memastikan pihak ketiga yang dikontrak melakukan penilaian keamanan tanpa melanggar kebijakan ini.

Selain itu, Anda bertanggung jawab atas segala kerusakan pada AWS atau pelanggan AWS lainnya yang disebabkan oleh kegiatan pengujian atau penilaian keamanan.