侵入テスト

AWS では、迅速に応答し、進捗状況をお伝えすることに努めます。aws-security-simulated-event@amazon.com まで直接 E メールでご連絡ください。日付、関係するアカウント、関係するアセット、連絡先情報 (電話番号や予定されているイベントの詳細な説明など) を必ず含めてください。最初にご連絡を受けてから 2 営業日以内に、申請を受け取った旨を非自動返信でご連絡いたします。

お客様がリクエストと一緒に提出された情報は、確認後に適切なチームに引き渡され、評価されます。このようなリクエストの性質から各申請は手作業で確認されるため、返信には最長で 7 日かかります。評価の完了に追加情報が必要であるかどうかに応じて、最終決定にはさらに長い期間がかかる可能性があります。

当社からの最終的認可を受け取った後は、お客様の側でそれ以上していただくことはありません。お客様が明示された期間の終わりまでにテストを行ってください。 

ネットワーク負荷テストの実行を希望されるお客様は、弊社の負荷テストポリシーを確認してください。DDoS シミュレーションを希望されるお客様は、事前に承認された以下のベンダーがサポートいたします。状況に応じて、リクエストをリダイレクトしてください。

• Red Wolf Security
• NCC Group
• AWS ProServ

AWS のセキュリティ評価ツールおよびサービスの使用に関するポリシーによって、他の AWS ユーザーの保護と AWS 全体のサービス品質を確保しながら、AWS アセットのセキュリティ評価を実施する優れた柔軟性が得られます。

AWS アセットのセキュリティ評価を実施するという目的を満たす、公共、プライベート、商用、オープンソースのさまざまなツールやサービスがあるということを AWS は理解しています。「セキュリティ評価」という用語は、AWS アセットでセキュリティ管理の有効性または存在を判断する目的で行われているすべてのアクティビティを指します。これには、AWS アセットに対して、AWS アセット内またはアセット間でリモート実行されている、あるいは仮想化されたアセット自体の中でローカルに実行されているポートスキャニング、脆弱性のスキャニングとチェック、侵入テスト、エクスプロイト、ウェブアプリケーションスキャニング、さらにあらゆる挿入、偽造、ファジング行為などが含まれます。

AWS アセットのセキュリティ評価を実行するためのツールやサービスの選択に制限はありません。ただし、お客様所有の、あるいは他のユーザーの AWS アセットに対するサービス妨害 (DoS) 攻撃や攻撃をシミュレートしたものを実行するためのツールやサービスの利用は固く禁止されています。禁止されるアクティビティには、以下が含まれます (ただしこれに限定されません)。

• プロトコルフラッディング (例: SYN フラッディング、ICMP フラッディング、UDP フラッディング)
• リソースリクエストフラッディング (例: HTTP リクエストフラッディング、ログインリクエストフラッディング、API リクエストフラッディング)

DoS に対して脆弱であることが知られているバージョンのリストと比較する目的で、「banner grabbing」などのソフトウェア名とバージョンを判断するための AWS アセットのリモートクエリのみを実行するセキュリティツールは、このポリシーに違反していません。

また、リモートまたはローカルのエクスプロイトのために、セキュリティ評価の一環として、必要に応じて一時的にあるいは永続的に AWS アセットをクラッシュさせるのみのツールやサービスはこのポリシーに違反しません。ただし、前述のように、このツールはプロトコルフラッディングやリソースリクエストフラッディングには関与しない可能性があります。
シミュレートされたものも含み、他の方法において DoS 状態を作成したり、存在を決定したり、実行したりするセキュリティツールは、明示的に禁止されています。

前述のように、いくつかのツールやサービスには、不適切に使用された場合や、明示的なテストやチェック、ツールやサービスの機能として使用された場合に、本質的にあるいは隠れて、実際の DoS 機能が含まれます。そのような DoS 機能を持つセキュリティツールやサービスには、Dos 機能の無効化、解除、あるいは無害化できる明示的な能力が備わっている必要があります。そうでない場合、そのツールやサービスはセキュリティ評価のいかなるファセットにも採用されない可能性があります。

AWS のお客様は、以下の責任を負うものとします。(1) セキュリティ評価を実行するために使用されるツールとサービスが適切に設定され、DoS 攻撃やそのようなシミュレーションを実行しない方法で正常に動作していることを確認する。(2) AWS アセットのセキュリティ評価の前に、使用したツールまたはサービスが DoS 攻撃またはそのようなシミュレーションを実行していないことを独自で検証する。AWS のお客様の責任には、契約したサードパーティがこのポリシーに違反しない方法でセキュリティ評価を実施することを保証することが含まれています。

さらに、お客様のテストやセキュリティ評価によって発生した AWS や他の AWS のユーザーへのすべての損害において、お客様が責任を負うものとします。