渗透测试

对于下一节“允许的服务”中列出的服务，亚马逊云科技客户无需事先获得批准，即可对其所使用的亚马逊云科技基础设施进行安全评测或渗透测试。此外，亚马逊云科技允许客户在亚马逊云科技 IP 空间或其他云提供商中托管他们的安全评测工具，用于本地、亚马逊云科技或第三方承包测试。包括命令和控制（C2）在内的所有安全测试都需要事先批准。

请确保这些活动遵守下面规定的政策。注意：客户不得针对亚马逊云科技基础设施本身或亚马逊云科技服务本身进行任何安全评测。如果您在安全评测过程中发现任何亚马逊云科技服务存在安全问题，请立即联系亚马逊云科技安全团队。

如果亚马逊云科技收到与您的安全测试相关的活动的滥用报告，我们会将其转发给您。回复时，请使用经过批准的语言想我们详细说明您的用例，包括我们可以与任何第三方记者分享的联系方式。单击此处了解更多信息。

亚马逊云科技服务的经销商负责其客户的安全测试活动。

亚马逊云科技关于使用安全评测工具和服务的政策可以让您非常灵活地对亚马逊云科技资产执行安全评测，同时保护其他亚马逊云科技客户并确保亚马逊云科技的服务质量。 

亚马逊云科技了解有多种公共、私有、商业和/或开源工具和服务可供选择，用来对您的亚马逊云科技资产执行安全评测。 “安全评测”是指为确定亚马逊云科技资产中安全控制的效能或存在而进行的所有活动，例如端口扫描、漏洞扫描/检查、渗透测试、利用、Web 应用程序扫描以及任何注入、伪造或模糊测试活动，可以远程对您的亚马逊云科技资产、亚马逊云科技资产之间执行此类活动，也可以在虚拟资产内部本地执行。

您可以自由选择用来对亚马逊云科技资产执行安全评测的工具或服务。 但是，您不得利用任何工具或服务对任何亚马逊云科技资产（您的资产或他人的资产）执行阻断服务（DoS）攻击或模拟此类攻击。想要执行 DDoS 模拟测试的客户应查看我们的 DDoS 模拟测试政策。

如果某款安全工具仅通过对您的亚马逊云科技资产执行远程查询（例如“服务标识获取”）来确定软件名称及版本，并将其与已知存在 DoS 漏洞的版本列表进行比对，此类行为不违反本政策。

此外，如果某项安全工具或服务仅在安全评测过程中（无论是远程还是本地利用），出于必要原因导致亚马逊云科技资源上的某个运行进程崩溃（无论该崩溃是暂时的还是其他形式），此类行为不违反本政策。 但是，如上所述，此工具可能不会用于处理协议泛洪或资源请求泛洪。

明确禁止以任何其他方式（实际或模拟）创建 DoS 条件、确定其存在或演示 DoS 条件的安全工具或服务。

某些工具或服务可能包含上述 DoS 功能，这些功能既可能因使用不当而隐蔽地触发，也可能作为工具或服务本身明确包含的测试、检查项或功能存在。任何具有此类 DoS 功能的安全工具或服务都必须具有禁用、消除或以其他方式呈现无害性的显式能力，即 DoS 功能。否则，该工具或服务不得用于安全评测的任何方面。

亚马逊云科技客户须自行承担以下责任：(1) 确保所使用的安全评测工具与服务配置得当，且其运行方式不会实施 DoS 攻击或此类攻击的模拟；(2) 在对任何亚马逊云科技资源进行安全评测之前，独立验证所使用的工具或服务不会实施 DoS 攻击或此类攻击的模拟。上述亚马逊云科技客户职责包括确保签约的第三方以不违反此政策的方式执行安全评测。

此外，如果您的测试或安全评测活动对亚马逊云科技或其他亚马逊云科技客户造成了损害，您需对此承担相应责任。