Test DDoS: autorizzazione, legalità e approvazione del provider

Un test di resilienza DDoS genera deliberatamente traffico pensato per mettere sotto stress le Sue difese. Senza un'autorizzazione adeguata, la stessa attività può apparire esattamente come un attacco e, in molti ordinamenti, inviare traffico perturbativo verso sistemi senza autorizzazione può costituire reato. L'autorizzazione non è quindi una formalità: è il fondamento che rende un test lecito, sicuro e utile. Questa guida illustra cosa comporta di solito l'autorizzazione per un test DDoS e quali parti devono dare il proprio consenso prima che venga inviato qualsiasi traffico. Si tratta di informazioni generali e non di consulenza legale.

Che cos'è

Autorizzare un test DDoS significa che tutti coloro che hanno un interesse legittimo nei sistemi bersaglio hanno approvato per iscritto un test definito. Di norma ciò include il responsabile di business del servizio, il responsabile tecnico e qualsiasi provider che gestisce una parte del percorso: società di hosting, piattaforme cloud, CDN, servizi di mitigazione DDoS, ISP e talvolta carrier a monte. Possedere un dominio o pagare un hosting non conferisce di per sé il diritto di indirizzare traffico simile a un attacco verso l'infrastruttura condivisa di un provider. Molti provider cloud e CDN pubblicano policy sui test; alcuni richiedono un preavviso, l'impiego di fornitori approvati o limiti specifici, e alcuni vietano determinati tipi di test. Oltre al permesso, l'autorizzazione documenta l'ambito: indirizzi e hostname bersaglio, tipi di traffico, velocità massime, finestre temporali, modalità di monitoraggio, referenti nominativi per ciascuna parte e condizioni in presenza delle quali il test si interrompe immediatamente.

Per Chi È

Questa guida è rilevante per:

Responsabili della sicurezza e dell'infrastruttura che pianificano un primo test di resilienza DDoS
Aziende che si affidano a una CDN o a un servizio di mitigazione e desiderano verificare che funzioni come previsto
Team di procurement che valutano proposte di test DDoS
Manager che devono confermare la base legale e contrattuale prima di approvare un test

Cosa Aiuta A Chiarire

Affrontare il tema dell'autorizzazione aiuta a chiarire:

Quali sistemi sono di Sua proprietà e quali sono gestiti da provider di cui serve il permesso
Se le policy di test dei provider limitano tipi di traffico, velocità o tempistiche
Chi può interrompere il test in qualsiasi momento e come verrà contattato
Quale impatto sul business è accettabile e cosa determinerebbe un arresto immediato

Cosa è incluso

Autorizzazione scritta firmata da una persona con autorità sul servizio bersaglio
Inventario degli indirizzi IP e degli hostname inclusi nell'ambito e dei provider presenti nel percorso del traffico
Esame della policy di test di ciascun provider e, ove richiesto, della relativa approvazione scritta o del riferimento della notifica
Scenari di traffico definiti, con velocità massime e durata per ciascuno
Finestra di test concordata con i team di business, evitando i periodi di picco e gli eventi critici
Referenti nominativi per entrambe le parti, con un canale di comunicazione collaudato
Condizioni di arresto chiare e un metodo confermato per fermare immediatamente il traffico
Accordo su monitoraggio, raccolta delle evidenze e modalità di rendicontazione dei risultati

Cosa non è incluso

Test su sistemi per i quali manca l'autorizzazione del proprietario o del provider
Consulenza legale su questioni penali, contrattuali o regolamentari
Istruzioni per generare traffico di attacco
L'affermazione che un test dimostri l'immunità da attacchi reali

Quando sceglierlo

Avvii il lavoro di autorizzazione diverse settimane prima della data prevista per il test, perché le approvazioni dei provider possono richiedere tempo. Lo riesamini ogni volta che cambiano il bersaglio, il provider o la finestra; una modifica di uno qualsiasi di questi elementi è una modifica dell'ambito, non un aggiustamento informale. Se un provider rifiuta di approvare un test, rispetti tale decisione e valuti alternative, come testare una replica non di produzione o esaminare invece la configurazione. Questo articolo fornisce informazioni generali e non costituisce consulenza legale.

Il nostro approccio

Consideriamo l'autorizzazione parte integrante dell'incarico, non una pratica burocratica preliminare. L'ambito viene confermato per iscritto, i requisiti dei provider vengono individuati per tempo e il cliente ottiene le eventuali approvazioni di terzi necessarie. Il nostro servizio DDoS Resilience Testing valuta scenari di disservizio concordati entro limiti scritti, con osservazione controllata, una sintesi delle lacune di resilienza e raccomandazioni in ordine di priorità. Durante il test, i referenti nominativi possono sospendere o interrompere il lavoro in qualsiasi momento. L'incarico fornisce evidenze sull'ambiente concordato durante la finestra di test; la remediation o la risposta agli incidenti vengono definite separatamente, se necessario. Conservi il pacchetto di autorizzazione insieme al report finale: documenta le condizioni in cui i risultati sono stati ottenuti, il che è importante quando i risultati vengono discussi in seguito.

servizio DDoS Resilience Testing

Visualizza la pagina del servizio DDoS Resilience Testing