侵入テスト

Red/Blue/Purple Team テストは、組織のセキュリティに対する認識と応答時間をテストするために設計された敵対的セキュリティシミュレーションです

内密の敵対的セキュリティシミュレーションの実行および/または Command and Control (C2) のホスティングをご希望のお客様は、レビューのために「Simulated Events フォーム」を送信する必要があります。 

ストレステストは、大量の正当なトラフィックまたはテストトラフィックを特定のターゲットアプリケーションに送信して、効率的な運用能力が備わっていることを確認するパフォーマンステストです。エンドポイントアプリケーションは、テストの一環として、その意図された機能を実行することが期待されています。ターゲットを圧倒しようとする試みは、サービス拒否 (DoS) とみなされます。

ネットワーク負荷テストの実行をご希望のお客様は、当社の「負荷テストポリシー」をご確認ください。 

iPerf は、ネットワークパフォーマンスの測定と調整のためのツールです。これは、任意のネットワークについて、標準化されたパフォーマンス測定値を生成できるクロスプラットフォームツールです。

iPerf テストの実行をご希望のお客様は、レビューのために「Simulated Events フォーム」を送信する必要があります。 

分散型サービス拒否 (DDoS) 攻撃は、攻撃者が複数ソースからの大量のトラフィックを使用して攻撃対象となるアプリケーションの可用性に影響を及ぼそうとする場合に発生します。DDoS シミュレーションテストは、制御された DDoS 攻撃を使用して、アプリケーションの所有者がそのアプリケーションの耐久性を評価し、イベント対応を練習できるようにします。

DDoS シミュレーションテストの実行をご希望のお客様は、当社の「DDoS シミュレーションテストポリシー」をご確認ください。 

フィッシングシミュレーションは、ユーザーから機密情報の取得を試みる、ソーシャルエンジニアリング攻撃のシミュレーションです。これは、組織のセキュリティを強化するために、ユーザーを特定し、有効な E メールとフィッシングメールの違いについて教育することを目標としています。

フィッシングシミュレーションのキャンペーンの実行をご希望のお客様は、レビューのために「Simulated Events フォーム」を送信する必要があります。 

マルウェアテストでは、セキュリティ機能を改善するために、悪意のあるファイルまたはプログラムを、アプリケーションまたはウイルス対策プログラムにさらします。

マルウェアテストの実行をご希望のお客様は、レビューのために「Simulated Events フォーム」を送信する必要があります。 

AWS は、迅速に応答し、当社における進捗状況をお客様にお伝えすることに努めています。直接のお問い合わせには、シミュレートされたイベントのフォームを当社に送信してください。(中国 (寧夏および北京) の AWS リージョンで運用されているお客様の場合は、こちらの「Simulated Events フォーム」をご使用ください。)

日付、関係するアカウント ID、関係するアセット、連絡先情報 (電話番号や予定されているイベントの詳細な説明など) を必ず含めてください。最初にご連絡を受けてから 2 営業日以内に、リクエストを受け取った旨を、非自動返信でご連絡いたします。

すべての Simulated Event リクエストは、遅くとも開始日の 2 週間前に AWS に送信する必要があります。

当社からの最終的認可を受け取った後は、お客様の側でそれ以上していただくことはありません。お客様は、お客様が示した期間が終了するまでテストを実施できます。

AWS のセキュリティ評価ツールおよびサービスの使用に関するポリシーによって、他の AWS ユーザーの保護と AWS 全体のサービス品質を確保しながら、AWS アセットのセキュリティ評価を実施する優れた柔軟性が得られます。

AWS アセットのセキュリティ評価を実施するという目的を満たす、公共、プライベート、商用、オープンソースのさまざまなツールやサービスがあるということを AWS は理解しています。「セキュリティ評価」という用語は、AWS アセットでセキュリティ管理の有効性または存在を判断する目的で行われているすべてのアクティビティを指します。これには、AWS アセットに対して、AWS アセット内またはアセット間でリモート実行されている、あるいは仮想化されたアセット自体の中でローカルに実行されているポートスキャニング、脆弱性のスキャニングとチェック、侵入テスト、エクスプロイト、ウェブアプリケーションスキャニング、さらにあらゆる挿入、偽造、ファジング行為などが含まれます。

AWS アセットのセキュリティ評価を実行するためのツールやサービスの選択に制限はありません。ただし、お客様所有の、あるいは他のユーザーの AWS アセットに対するサービス妨害 (DoS) 攻撃や攻撃をシミュレートしたものを実行するためのツールやサービスの利用は固く禁止されています。DDoS シミュレーションテストの実行をご希望のお客様は、当社の「DDoS シミュレーションテストポリシー」をご確認ください。

DoS に対して脆弱であることが知られているバージョンのリストと比較する目的で、「banner grabbing」などのソフトウェア名とバージョンを判断するための AWS アセットのリモートクエリのみを実行するセキュリティツールは、このポリシーに違反していません。

また、リモートまたはローカルのエクスプロイトのために、セキュリティ評価の一環として、必要に応じて一時的にあるいは永続的に AWS アセットをクラッシュさせるのみのツールやサービスはこのポリシーに違反しません。ただし、前述のように、このツールはプロトコルフラッディングやリソースリクエストフラッディングには関与しない可能性があります。
 シミュレートされたものも含み、他の方法において DoS 状態を作成したり、存在を決定したり、実行したりするセキュリティツールは、明示的に禁止されています。

前述のように、いくつかのツールやサービスには、不適切に使用された場合や、明示的なテストやチェック、ツールやサービスの機能として使用された場合に、本質的にあるいは隠れて、実際の DoS 機能が含まれます。そのような DoS 機能を持つセキュリティツールやサービスには、Dos 機能の無効化、解除、あるいは無害化できる明示的な能力が備わっている必要があります。そうでない場合、そのツールやサービスはセキュリティ評価のいかなるファセットにも採用されない可能性があります。

AWS のお客様は、以下の責任を負うものとします。(1) セキュリティ評価を実行するために使用されるツールとサービスが適切に設定され、DoS 攻撃やそのようなシミュレーションを実行しない方法で正常に動作していることを確認する。(2) AWS アセットのセキュリティ評価の前に、使用したツールまたはサービスが DoS 攻撃またはそのようなシミュレーションを実行していないことを独自で検証する。AWS のお客様の責任には、契約した第三者がこのポリシーに違反しない態様でセキュリティ評価を実施するようにすることが含まれています。

さらに、お客様は、お客様によるテストまたはセキュリティ評価の活動によって発生した AWS または他の AWS のお客様に対するすべての損害について責任を負うものとします。