これより、AWS のお客様は、8 つのサービスを事前に承認することなく、AWS インフラストラクチャに対するセキュリティ評価または侵入テストを実施できるようになります。

これらのアクティビティが以下に述べるポリシーに適合していることを確認してください。注意: お客様が AWS インフラストラクチャまたは AWS のサービス自体のセキュリティ評価を実施することは許可されていません。セキュリティ評価の実施中に AWS のサービス内でセキュリティ問題を発見した場合は、すぐに AWS セキュリティにお問い合わせください。

プライベートプレビューおよび NDA – 現在、当社は以下のサービスのセキュリティ評価のためのプレビュープログラムを運営しています。評価を実施する前に、pen-test-nda@amazon.com に連絡して NDA を完了してください。

  • Amazon CloudFront

許可されたサービス – お客様が所有する AWS リソースが以下のサービスを使用している場合、そのリソースに対してセキュリティ評価を実施することができます。このリストは常時更新されています。こちらをクリックしてフィードバック、追加サービスのリクエストをお寄せください。

  • Amazon EC2 インスタンス、NAT ゲートウェイ、Elastic Load Balancer
  • Amazon RDS
  • Amazon CloudFront
  • Amazon Aurora
  • Amazon API Gateway
  • AWS Lambda 関数および Lambda Edge 関数
  • Amazon Lightsail リソース
  • Amazon Elastic Beanstalk 環境

禁止されるアクティビティ – 現時点では以下のアクティビティは禁止されています。

  • Amazon Route 53 ホストゾーン経由の DNS ゾーンウォーキング
  • サービス妨害 (DoS)、分散サービス妨害 (DDoS)、シミュレートされた DoS、シミュレートされた DDoS
  • ポートフラッディング
  • プロトコルフラッディング
  • リクエストフラッディング (ログインリクエストフラッディング、API リクエストフラッディング)

不正使用レポート – AWS がお客様のセキュリティテストに関連するアクティビティについての不正使用レポートを受け取った場合、お客様に転送します。お客様は、通知から 24 時間以内にこれらのレポートに回答する必要があります。回答する際には、報告されたアクティビティの根本的な原因と、報告された問題の再発を防ぐために行ったことの詳細を記入してください。不正使用レポートの手続きに関しては、こちらから詳細をご覧ください。

リセラーの責任 - AWS のサービスのリセラーは、顧客のセキュリティテストアクティビティに関する責任を負います。

すべてのセキュリティテストは AWS セキュリティテストの利用規約に準拠している必要があります (下記を参照してください)。

AWS では、セキュリティテストを、お客様が必要とする客観的な証拠を間違いや中断なしに効率的に集める有益なものにしたいと考えています。以下のヒントは、プロバイダー、AWS、および他の AWS ユーザーに高く評価されつつ、お客様のエクスペリエンスを向上するのに役立ちます。

レート制限 – テストを確実に成功させるために、スキャンを 1Gbps あるいは 10,000 RPS に制限してください。

インスタンスタイプ – 環境への潜在的な中断を最小限に抑えるために、セキュリティ評価から以下の EC2 インスタンスタイプを除外することをお勧めします。

  • T3.nano
  • T2.nano
  • T1.micro
  • M1.small

IP アドレスのテスト – クラウド環境は動的であるため、テストの開始前にすべての IP アドレスを検証し、IP アドレスの現在の所有権を確認する必要があります。

ご不明な点がありましたら、aws-security-simulated-event@amazon.com までお問い合わせください。

セキュリティテスト (「テスト」)
(a) テストは、以下の AWS のウェブサイトに記載されているサービス、ネットワーク帯域幅、1 分あたりのリクエスト数、インスタンスタイプに制限されます。 

https://aws.amazon.com/jp/security/penetration-testing/

(b) テストは、お客様と AWS の間のアマゾン ウェブ サービス カスタマーアグリーメント (https://aws.amazon.com/jp/agreement/) (「アグリーメント」) の規約の対象となります。

(c) テストは、セキュリティ評価ツールおよびサービス (以下参照) の使用に関する AWS のポリシーに従うものとします。

AWS のツールあるいは AWS のサービスを使用したことによる直接的な結果である脆弱性またはその他の問題を発見した場合、テストの完了後 24 時間以内に aws-security@amazon.com に報告する必要があります。

AWS のセキュリティ評価ツールおよびサービスの使用に関するポリシーによって、他の AWS ユーザーの保護と AWS 全体のサービス品質を確保しながら、AWS アセットのセキュリティ評価を実施する優れた柔軟性が得られます。

AWS アセットのセキュリティ評価を実施するという目的を満たす、公共、プライベート、商用、オープンソースのさまざまなツールやサービスがあるということを AWS は理解しています。「セキュリティ評価」という用語は、AWS アセットでセキュリティ管理の有効性または存在を判断する目的で行われているすべてのアクティビティを指します。これには、AWS アセットに対して、AWS アセット内またはアセット間でリモート実行されている、あるいは仮想化されたアセット自体の中でローカルに実行されているポートスキャニング、脆弱性のスキャニングとチェック、侵入テスト、エクスプロイト、ウェブアプリケーションスキャニング、さらにあらゆる挿入、偽造、ファジング行為などが含まれます。

AWS アセットのセキュリティ評価を実行するためのツールやサービスの選択に制限はありません。ただし、お客様所有の、あるいは他のユーザーの AWS アセットに対するサービス妨害 (DoS) 攻撃や攻撃をシミュレートしたものを実行するためのツールやサービスの利用は固く禁止されています。禁止されるアクティビティには、以下が含まれます (ただしこれに限定されません)。

  • プロトコルフラッディング (例: SYN フラッディング、ICMP フラッディング、UDP フラッディング)
  • リソースリクエストフラッディング (例: HTTP リクエストフラッディング、ログインリクエストフラッディング、API リクエストフラッディング)

DoS に対して脆弱であることが知られているバージョンのリストと比較する目的で、「banner grabbing」などのソフトウェア名とバージョンを判断するための AWS アセットのリモートクエリのみを実行するセキュリティツールは、このポリシーに違反していません。

また、リモートまたはローカルのエクスプロイトのために、セキュリティ評価の一環として、必要に応じて一時的にあるいは永続的に AWS アセットをクラッシュさせるのみのツールやサービスはこのポリシーに違反しません。ただし、前述のように、このツールはプロトコルフラッディングやリソースリクエストフラッディングには関与しない可能性があります。

シミュレートされたものも含み、他の方法において DoS 状態を作成したり、存在を決定したり、実行したりするセキュリティツールは、明示的に禁止されています。

前述のように、いくつかのツールやサービスには、不適切に使用された場合や、明示的なテストやチェック、ツールやサービスの機能として使用された場合に、本質的にあるいは隠れて、実際の DoS 機能が含まれます。そのような DoS 機能を持つセキュリティツールやサービスには、Dos 機能の無効化、解除、あるいは無害化できる明示的な能力が備わっている必要があります。そうでない場合、そのツールやサービスはセキュリティ評価のいかなるファセットにも採用されない可能性があります。

AWS のお客様は、以下の責任を負うものとします。(1) セキュリティ評価を実行するために使用されるツールとサービスが適切に設定され、DoS 攻撃やそのようなシミュレーションを実行しない方法で正常に動作していることを確認する。(2) AWS アセットのセキュリティ評価の前に、使用したツールまたはサービスが DoS 攻撃またはそのようなシミュレーションを実行していないことを独自で検証する。AWS のお客様の責任には、契約したサードパーティがこのポリシーに違反しない方法でセキュリティ評価を実施することを保証することが含まれています。

さらに、お客様のテストやセキュリティ評価によって発生した AWS や他の AWS のユーザーへのすべての損害において、お客様が責任を負うものとします。



AWS では、迅速に応答し、進捗状況をお伝えすることに努めます。最初にご連絡を受けてから 2 営業日以内に、申請を受け取った旨を非自動返信でご連絡いたします。

お客様がリクエストと一緒に提出された情報は、確認後に適切なチームに引き渡され、評価されます。このようなリクエストの性質から各申請は手作業で確認されるため、返信には最長で 7 日かかります。評価の完了に追加情報が必要であるかどうかに応じて、最終決定にはさらに長い期間がかかる可能性があります。

  • セキュリティシミュレーションまたはセキュリティゲームデー
  • サポートシミュレーションまたはサポートゲームデー
  • 戦争ゲームシミュレーション
  • ホワイトカード
  • レッドチームテストおよびブルーチームテスト
  • 災害対策シミュレーション
  • 他のシミュレートされたイベント

aws-security-simulated-event@amazon.com まで直接 E メールでご連絡ください。イベントについてご連絡いただく際は、以下の情報を含むイベントの詳細をお知らせください。

  • 日付
  • イベントに関与するアカウント
  • イベントに関与するアセット
  • 電話番号を含む連絡先情報
  • 計画されたイベントの詳細な説明

AWS では、迅速に応答し、進捗状況をお伝えすることに努めます。最初にご連絡を受けてから 2 営業日以内に、申請を受け取った旨を非自動返信でご連絡いたします。

お客様がリクエストと一緒に提出された情報は、確認後に適切なチームに引き渡され、評価されます。このようなリクエストの性質から各申請は手作業で確認されるため、返信には最長で 7 日かかります。評価の完了に追加情報が必要であるかどうかに応じて、最終決定にはさらに長い期間がかかる可能性があります。

当社からの最終的認可を受け取った後は、お客様の側でそれ以上していただくことはありません。お客様が明示された期間の終わりまでにテストを行ってください。

ネットワーク負荷テストの実行を希望されるお客様は、当社の負荷テストポリシーを確認してください。 

DDoS シミュレーションを希望されるお客様は、事前に承認された以下のベンダーによってサポートされます。状況に応じて要求をリダイレクトしてください。

現在承認済み

Vendors Red Wolf Security

NCC Group

AWS ProServ

 


 

お問い合わせ