Lewati ke Konten Utama

Keamanan AWS Cloud

Pengujian Penetrasi

Kebijakan Dukungan Pelanggan AWS untuk Pengujian Penetrasi

Pelanggan AWS dipersilakan untuk melakukan penilaian keamanan atau pengujian penetrasi terhadap infrastruktur AWS mereka tanpa persetujuan sebelumnya untuk layanan yang tercantum pada bagian berikutnya di bawah “Layanan yang Diizinkan”. Selain itu, AWS mengizinkan pelanggan untuk meng-hosting alat penilaian keamanan mereka dalam ruang IP AWS atau penyedia cloud lainnya untuk pengujian di lingkungan on-prem, di AWS, atau oleh pihak ketiga yang dikontrak. Semua pengujian keamanan yang mencakup Command and Control (C2) memerlukan persetujuan terlebih dahulu.

Pastikan bahwa aktivitas ini sejalan dengan kebijakan yang tercantum di bawah ini. Catatan: Pelanggan tidak diizinkan untuk melakukan penilaian keamanan terhadap infrastruktur AWS atau layanan AWS itu sendiri. Jika Anda menemukan masalah keamanan pada layanan AWS mana pun yang diamati dalam penilaian keamanan Anda, segera hubungi AWS Security.

Jika AWS menerima laporan penyalahgunaan terkait aktivitas yang berhubungan dengan pengujian keamanan Anda, kami akan meneruskannya kepada Anda. Saat merespons, harap beri kami perincian kasus penggunaan Anda dalam bahasa yang disetujui, termasuk titik kontak yang dapat kami bagikan dengan pelapor pihak ketiga mana pun. Pelajari selengkapnya di sini.

Reseller layanan AWS bertanggung jawab atas aktivitas pengujian keamanan pelanggan mereka.

Kebijakan Layanan Pelanggan untuk Pengujian Penetrasi

Layanan yang Diizinkan

  • Instans Amazon EC2, WAF, NAT Gateway, dan Elastic Load Balancer
  • Amazon RDS
  • Amazon CloudFront
  • Amazon Aurora
  • Amazon API Gateway
  • AWS AppSync
  • Fungsi AWS Lambda dan Lambda Edge
  • Sumber daya Amazon Lightsail
  • Lingkungan Amazon Elastic Beanstalk
  • Amazon Elastic Container Service
  • AWS Fargate
  • Amazon OpenSearch Service
  • Amazon FSx
  • Amazon Transit Gateway
  • Amazon Bedrock AgentCore
  • AWS Global Accelerator

Pelanggan yang ingin menguji layanan yang tidak disetujui perlu bekerja secara langsung dengan Tim Dukungan AWS atau perwakilan akun mereka.

Kegiatan Terlarang

Pelanggan yang ingin menguji layanan yang tidak disetujui perlu bekerja secara langsung dengan Tim Dukungan AWS atau perwakilan akun mereka.

  • DNS zone walking melalui Zona yang Di-hosting di Amazon Route 53
  • Pembajakan DNS melalui Route 53
  • DNS Pharming melalui Route 53
  • Penolakan Layanan (DoS), Penolakan Layanan Terdistribusi (DDoS),
  • Simulasi DoS, Simulasi DDoS (Tunduk pada kebijakan Pengujian Simulasi DDoS), Port flooding
  • Protocol flooding
  • Request flooding (login request flooding, API request flooding)
  • Pengambilalihan bucket S3
  • Pengambilalihan Subdomain

Layanan yang Dilarang untuk Pengujian Penetrasi Keluar

  • Amazon API Gateway
  • Amazon Bedrock AgentCore

Peristiwa yang Disimulasikan Lainnya

Buka semua

    Uji Tim Merah/Biru/Ungu adalah simulasi keamanan dengan musuh yang dirancang untuk menguji kesadaran keamanan dan waktu respons organisasi.

    Pelanggan yang ingin melakukan simulasi keamanan adversarial dan/atau melakukan hosting Perintah dan Kontrol (C2) harus mengirimkan formulir Peristiwa yang Disimulasikan untuk ditinjau.

    Pengujian Stres Jaringan atau pengujian Beban adalah uji performa yang mengirimkan volume besar lalu lintas yang sah atau menguji lalu lintas ke aplikasi target tertentu yang dituju untuk memastikan kapasitas operasional yang efisien. Pelanggan yang ingin melakukan Uji Stres Jaringan harus meninjau kebijakan Uji Stres kami.

    Serangan Penolakan Layanan Terdistribusi (DDoS) terjadi ketika penyerang membanjiri lalu lintas dari berbagai sumber untuk mencoba memengaruhi ketersediaan aplikasi yang ditargetkan. Pelanggan yang ingin melakukan uji simulasi DDoS harus meninjau kebijakan Pengujian Simulasi DDoS kami.

    iPerf adalah alat pengukuran dan penyetelan performa jaringan. Pelanggan yang ingin melakukan pengujian iPerf harus mengirim formulir Peristiwa yang Disimulasikan untuk ditinjau.

    Phishing yang Disimulasikan adalah simulasi serangan rekayasa sosial yang berusaha mendapatkan informasi sensitif dari pengguna. Tujuannya untuk mengidentifikasi pengguna dan mengedukasi mereka mengenai perbedaan antara email yang valid dan email phishing guna meningkatkan keamanan organisasi.

    Pelanggan yang ingin melakukan kampanye Phishing yang Disimulasikan harus mengirimkan formulir Peristiwa yang Disimulasikan untuk ditinjau.

    Pengujian Malware adalah praktik memasukkan file atau program berbahaya ke aplikasi atau program antivirus guna meningkatkan fitur keamanan.

    Pelanggan yang ingin melakukan Pengujian Malware harus mengirimkan formulir Peristiwa yang Disimulasikan untuk ditinjau.

    AWS berkomitmen untuk merespons dengan cepat dan terus memberi tahu Anda semua perkembangan kami. Harap kirimkan formulir Peristiwa yang Disimulasikan untuk menghubungi kami secara langsung. (Untuk pelanggan yang beroperasi di AWS Region Tiongkok (Ningxia & Beijing), harap gunakan formulir Peristiwa yang Disimulasikan.)

    Pastikan untuk memasukkan tanggal, ID akun yang terlibat, aset yang terlibat, dan informasi kontak, termasuk nomor telepon dan uraian lengkap mengenai kejadian yang direncanakan. Respons non-otomatis dapat diperkirakan masuk ke kontak awal Anda dalam waktu 2 hari kerja, yang mengonfirmasi diterimanya permintaan Anda.

    Semua permintaan Peristiwa yang Disimulasikan harus dikirimkan ke AWS setidaknya dua (2) minggu sebelum tanggal mulai.

    Anda tidak perlu melakukan tindakan lebih lanjut setelah menerima otorisasi kami. Anda dapat melakukan pengujian hingga akhir periode yang Anda tentukan.

Syarat dan Ketentuan

Semua Pengujian Keamanan harus sejalan dengan Syarat dan Ketentuan Pengujian Keamanan AWS ini.

Pengujian Keamanan:

  • Akan dibatasi pada layanan, bandwidth jaringan, permintaan per menit, dan tipe instans.
  • Tunduk pada ketentuan dalam Perjanjian Pelanggan Amazon Web Services antara Anda dan AWS
  • Akan mematuhi kebijakan AWS mengenai penggunaan alat dan layanan penilaian keamanan, yang dijelaskan pada bagian berikutnya

Setiap penemuan kerentanan atau masalah lain yang merupakan akibat langsung dari alat atau layanan AWS harus disampaikan ke AWS Security dalam waktu 24 jam setelah pengujian selesai.

Kebijakan AWS tentang Penggunaan Alat dan Layanan Penilaian Keamanan

Kebijakan AWS tentang penggunaan alat dan layanan penilaian keamanan memungkinkan fleksibilitas yang signifikan untuk melakukan penilaian keamanan terhadap aset AWS Anda sekaligus melindungi pelanggan AWS lainnya dan memastikan kualitas layanan di seluruh AWS.

AWS memahami adanya berbagai macam alat dan layanan publik, pribadi, komersial, dan/atau sumber terbuka yang dapat dipilih untuk melakukan penilaian keamanan terhadap aset AWS Anda. Istilah "penilaian keamanan" merujuk pada semua kegiatan yang dilakukan untuk menentukan efikasi atau keberadaan kontrol keamanan di antara aset AWS Anda, misalnya pemindaian port, pemindaian/pemeriksaan kerentanan, pengujian penetrasi, eksploitasi, pemindaian aplikasi web, serta berbagai injeksi, pemalsuan, atau kegiatan fuzzing, baik dilakukan dari jarak jauh terhadap aset AWS Anda, di antara/antar aset AWS Anda, maupun secara lokal dalam aset yang divirtualisasi itu sendiri.

Anda TIDAK dibatasi dalam memilih alat atau layanan untuk melakukan penilaian keamanan terhadap aset AWS Anda. Namun, Anda DILARANG menggunakan alat atau layanan apa pun yang dapat melakukan serangan Penolakan Layanan (DoS) atau simulasi semacam itu terhadap aset AWS APA PUN, baik milik Anda maupun pihak lain. Pelanggan yang ingin melakukan pengujian simulasi DDoS harus meninjau kebijakan Pengujian Simulasi DDoS kami.

Alat keamanan yang semata-mata melakukan kueri jarak jauh terhadap aset AWS Anda untuk mengidentifikasi nama dan versi perangkat lunak, seperti "banner grabbing", guna membandingkannya dengan daftar versi yang dikenal rentan terhadap DoS, TIDAK melanggar kebijakan ini.

Selain itu, alat atau layanan keamanan yang hanya menyebabkan proses yang sedang berjalan pada aset AWS Anda mengalami crash, untuk sementara atau lainnya, sebagaimana diperlukan untuk eksploitasi jarak jauh atau lokal sebagai bagian dari penilaian keamanan, TIDAK melanggar kebijakan ini. Namun, alat ini TIDAK boleh melakukan protocol flooding atau resource request flooding, seperti yang telah disebutkan di atas.

Alat atau layanan keamanan yang membuat, menentukan eksistensi, atau menunjukkan kondisi DoS dalam cara lain APA PUN, baik secara nyata maupun simulasi, secara tegas dilarang.

Beberapa alat atau layanan memiliki kemampuan DoS aktual seperti yang dijelaskan, baik secara tersembunyi/inheren jika digunakan secara tidak tepat atau sebagai pengujian/pemeriksaan eksplisit atau fitur dari alat atau layanan tersebut. Semua alat atau layanan keamanan yang memiliki kemampuan DoS semacam itu harus memiliki kemampuan eksplisit untuk MENONAKTIFKAN atau MENGHILANGKAN kemampuan DoS tersebut, atau mengubahnya menjadi TIDAK BERBAHAYA. Jika tidak demikian, alat atau layanan tersebut TIDAK boleh digunakan untuk aspek APA PUN pada penilaian keamanan.

Merupakan tanggung jawab penuh pelanggan AWS untuk: (1) memastikan alat dan layanan yang digunakan untuk melakukan penilaian keamanan dikonfigurasi dengan benar dan berhasil beroperasi dengan cara yang tidak melakukan serangan DoS atau simulasinya, dan (2) memvalidasi secara independen bahwa alat atau layanan yang digunakan tidak melakukan serangan DoS atau simulasinya, SEBELUM penilaian keamanan terhadap aset AWS apa pun. Tanggung jawab pelanggan AWS ini termasuk memastikan pihak ketiga yang dikontrak melakukan penilaian keamanan tanpa melanggar kebijakan ini.

Selain itu, Anda bertanggung jawab atas segala kerusakan yang dialami AWS atau pelanggan AWS lainnya akibat aktivitas pengujian atau penilaian keamanan Anda.