Kiểm thử thâm nhập

Kiểm thử đội đỏ/xanh/tím là những mô phỏng bảo mật đối kháng được thiết kế để kiểm thử nhận thức bảo mật và thời gian phản hồi của một tổ chức

Các khách hàng mong muốn thực hiện mô phỏng bảo mật đối kháng bí mật và/hoặc lưu trữ Điều khiển và kiểm soát (C2) cần phải gửi biểu mẫu Sự kiện mô phỏng để được xét duyệt. 

Kiểm thử tính ổn định là bài kiểm tra hiệu năng, trong đó một lượng lớn lưu lượng hợp lệ hoặc kiểm thử được gửi đến một ứng dụng mục tiêu cụ thể đã định nhằm đảm bảo khả năng vận hành hiệu quả. Ứng dụng điểm cuối được kỳ vọng sẽ thực hiện các chức năng như bình thường trong lần kiểm thử. Bất kỳ trường hợp nào tìm cách khiến mục tiêu bị quá tải đều được coi là sự cố từ chối dịch vụ (DoS).

Khách hàng muốn thực hiện Kiểm thử tính ổn định của mạng nên xem xét chính sách Kiểm thử tính ổn định của chúng tôi. 

iPerf là một công cụ đo lường và tinh chỉnh hiệu năng mạng. Đây là một công cụ liên nền tảng có thể thực hiện đo lường hiệu năng tiêu chuẩn cho bất kỳ mạng nào.

Các khách hàng mong muốn thực hiện kiểm thử iPerf cần phải gửi biểu mẫu Sự kiện mô phỏng để được xét duyệt. 

Các cuộc tấn công Từ chối dịch vụ phân tán (DDoS) xảy ra khi những kẻ tấn công sử dụng một lượng lớn lưu lượng từ nhiều nguồn nhằm tác động đến tính khả dụng của ứng dụng mục tiêu. Kiểm thử mô phỏng DDoS sử dụng một cuộc tấn công DDoS có kiểm soát để cho phép chủ nhân ứng dụng đánh giá khả năng phục hồi của ứng dụng và luyện tập ứng phó với sự cố.

Khách hàng muốn thực hiện kiểm thử mô phỏng DDoS nên xem xét chính sách Kiểm thử mô phỏng DDoS. 

Mô phỏng lừa đảo là mô phỏng về một cuộc tấn công phi kỹ thuật nhằm cố gắng thu thập thông tin nhạy cảm từ người dùng. Mục tiêu là xác định người dùng và hướng dẫn họ về sự khác biệt giữa email hợp lệ và email lừa đảo để tăng cường bảo mật cho tổ chức.

Các khách hàng mong muốn thực hiện chiến dịch Mô phỏng lừa đảo cần phải gửi biểu mẫu Sự kiện mô phỏng để được xét duyệt. 

Kiểm thử phần mềm độc hại là phương pháp đưa các tệp hoặc chương trình độc hại vào ứng dụng hoặc chương trình chống vi-rút để cải thiện các tính năng bảo mật.

Các khách hàng mong muốn thực hiện Kiểm thử phần mềm độc hại cần phải gửi biểu mẫu Sự kiện mô phỏng để được xét duyệt. 

AWS cam kết sẽ phản hồi và giúp bạn cập nhật liên tục về tiến trình. Vui lòng gửi biểu mẫu Sự kiện mô phỏng  để liên hệ trực tiếp với chúng tôi. (Đối với khách hàng hoạt động tại khu vực Trung Quốc của AWS (Ninh Hạ và Bắc Kinh), vui lòng sử dụng biểu mẫu Sự kiện mô phỏng này.)

Vui lòng cung cấp ngày, ID tài khoản và tài sản có liên quan, và thông tin liên hệ, bao gồm số điện thoại và mô tả chi tiết về sự kiện theo kế hoạch. Bạn sẽ nhận được phản hồi không tự động đến thông tin liên hệ ban đầu của bạn trong vòng 2 ngày làm việc xác nhận rằng chúng tôi đã nhận được yêu cầu của bạn.

Mọi yêu cầu Sự kiện mô phỏng phải được gửi đến cho AWS trước tối thiểu hai (2) tuần tính từ ngày bắt đầu.

Sau khi nhận được cấp phép, phía bạn sẽ không cần thực hiện thêm việc gì. Bạn sẽ có quyền thực hiện kiểm thử cho đến khi kết thúc kỳ hạn bạn đã nêu.

Chính sách của AWS về việc sử dụng công cụ và dịch vụ đánh giá bảo mật vừa cho phép sự linh động đáng kể trong việc thực hiện đánh giá bảo mật tài sản AWS của bạn, vừa bảo vệ các khách hàng AWS khác và bảo đảm chất lượng dịch vụ trên toàn AWS.

AWS hiểu rằng có nhiều công cụ và dịch vụ công khai, riêng tư, thương mại và/hoặc mã nguồn mở để chọn nhằm mục đích thực hiện đánh giá bảo mật tài sản AWS của bạn. Thuật ngữ "đánh giá bảo mật" được dùng để chỉ tất cả hoạt động có liên quan nhằm mục đích xác định hiệu quả hoặc sự tồn tại của các biện pháp kiểm soát bảo mật trong tài sản AWS của bạn, ví dụ: quét cổng, quét/kiểm tra lỗ hổng, kiểm thử thâm nhập, khai thác, quét ứng dụng web cũng như mọi hoạt động lồng ghép, làm giả hoặc kiểm thử mờ, được thực hiện từ xa trên tài sản AWS của bạn, trong/giữa các tài sản AWS của bạn hay thực hiện cục bộ trong chính các tài sản ảo hóa.

Bạn KHÔNG bị giới hạn lựa chọn công cụ hay dịch vụ để thực hiện đánh giá bảo mật tài sản AWS của mình. Tuy nhiên, bạn BỊ nghiêm cấm sử dụng bất kỳ công cụ hay dịch vụ nào để thực hiện tấn công Từ chối dịch vụ (DoS) hay mô phỏng hành vi đó đối với MỌI tài sản của AWS, tài sản của bạn hoặc tài sản khác. Khách hàng muốn thực hiện kiểm thử mô phỏng DDoS nên xem xét chính sách Kiểm thử mô phỏng DDoS.

Công cụ bảo mật chỉ thực hiện truy vấn từ xa tài sản AWS của bạn để xác định tên và phiên bản phần mềm, ví dụ như "lấy biểu ngữ", nhằm mục đích so sánh với danh sách phiên bản đã xác định là có lỗ hổng DoS KHÔNG vi phạm chính sách này.

Ngoài ra, công cụ hoặc dịch vụ bảo mật làm gián đoạn quy trình đang chạy trên tài sản AWS của bạn, bất kể có tạm thời hay không, vốn là yêu cầu cần thiết để khai thác từ xa hoặc cục bộ, thuộc khuôn khổ đánh giá bảo mật KHÔNG vi phạm chính sách này. Tuy nhiên, công cụ này KHÔNG được phép tham gia gây tràn giao thức hoặc gây tràn yêu cầu tài nguyên, như được đề cập ở trên.
 Công cụ hoặc dịch vụ có chức năng tạo, xác định sự tồn tại của, hoặc minh họa điều kiện tấn công DoS theo BẤT KỲ hình thức nào, bất kể là thực tế hay mô phỏng, đều bị nghiêm cấm rõ ràng.

Một số công cụ hoặc dịch vụ có bao gồm khả năng tấn công DoS thực tế theo mô tả, bất kể là âm thầm/thực chất nếu được sử dụng một cách sai trái hoặc dưới dạng kiểm thử/kiểm tra rõ ràng hoặc tính năng của công cụ hoặc dịch vụ. Mọi công cụ hoặc dịch vụ bảo mật có khả năng tấn công DoS như vậy, phải có khả năng rõ ràng trong việc VÔ HIỆU HÓA, TẮT KÍCH HOẠT hoặc làm khả năng DoS đó trở nên VÔ HẠI theo cách khác. Nếu không, KHÔNG được sử dụng công cụ hoặc dịch vụ đó cho BẤT KỲ thuộc tính nào của đánh giá bảo mật.

Khách hàng của AWS chịu hoàn toàn trách nhiệm cho việc: (1) bảo đảm các công cụ hoặc dịch vụ được dùng để thực hiện đánh giá bảo mật đều được cấu hình đúng cách và hoạt động thành công theo cách thức không thực hiện tấn công hoặc mô phỏng DoS và hoạt động tương tự, (2) xác thực độc lập rằng các công cụ hoặc dịch vụ được dùng không thực hiện tấn công hoặc mô phỏng DoS và hoạt động tương tự, TRƯỚC khi thực hiện đánh giá bảo mật bất kỳ tài sản AWS nào. Trách nhiệm của khách hàng AWS bao gồm việc bảo đảm giao cho bên thứ ba thực hiện đánh giá bảo mật sao cho không vi phạm chính sách này.

Hơn nữa, bạn chịu trách nhiệm về mọi thiệt hại cho AWS hoặc bất kỳ khách hàng AWS nào khác do hoạt động kiểm thử hoặc đánh giá bảo mật của bạn gây ra.