Test di intrusione

I clienti AWS possono eseguire valutazioni della sicurezza o test di intrusione della propria infrastruttura AWS senza previa approvazione per i servizi elencati nella sezione successiva in “Servizi consentiti”. Inoltre, AWS consente ai clienti di ospitare i propri strumenti di valutazione della sicurezza all’interno dello spazio IP di AWS o di un altro provider cloud per test on-premises, in AWS o affidati a terze parti. Tutti i test di sicurezza che includono Command and Control (C2) richiedono un’approvazione preventiva.

Assicurati che queste attività siano in linea con la policy riportata di seguito. Nota: Ai clienti non è consentito condurre valutazioni di sicurezza dell’infrastruttura AWS o dei servizi AWS stessi. Se scopri un problema di sicurezza in uno qualsiasi dei servizi AWS osservati durante la valutazione della sicurezza, contatta immediatamente AWS Security.

Se AWS riceve una segnalazione di uso illecito per attività relative ai tuoi test di sicurezza, te la inoltreremo. Nella risposta, fornisci una descrizione approvata del tuo caso d’uso, includendo un punto di contatto che possiamo condividere con eventuali terze parti che hanno effettuato la segnalazione. Ulteriori informazioni qui.

I rivenditori di servizi AWS sono responsabili delle attività di test di sicurezza dei loro clienti.

La policy di AWS relativa all’utilizzo di strumenti e servizi di valutazione della sicurezza consente una notevole flessibilità nell’esecuzione di valutazioni della sicurezza degli asset AWS, proteggendo al contempo gli altri clienti AWS e garantendo la qualità del servizio in tutto AWS.

AWS è consapevole che esiste una varietà di strumenti e servizi pubblici, privati, commerciali e/o open source tra cui scegliere per eseguire una valutazione della sicurezza degli asset AWS. Il termine "valutazione della sicurezza" si riferisce a tutte le attività svolte allo scopo di determinare l’efficacia o l’esistenza di controlli di sicurezza tra gli asset AWS, ad esempio scansione delle porte, scansione/verifica delle vulnerabilità, test di intrusione, sfruttamento delle vulnerabilità, scansione di applicazioni Web, nonché qualsiasi attività di injection, falsificazione o fuzzing, eseguita da remoto sugli asset AWS, tra gli asset AWS o localmente all’interno degli asset virtualizzati stessi.

NON esistono limiti nella scelta di strumenti o servizi per eseguire una valutazione della sicurezza dei tuoi asset AWS. Tuttavia, è VIETATO utilizzare strumenti o servizi in modo tale da eseguire attacchi Denial-of-Service (DoS) o simulazioni di tali attacchi contro QUALSIASI asset AWS, tuo o di altri. I clienti che desiderano eseguire un test di simulazione DDoS devono consultare la nostra policy sui test di simulazione DDoS.

Uno strumento di sicurezza che esegue esclusivamente una query remota degli asset AWS per determinare il nome e la versione di un software, come il "banner grabbing", al fine di confrontarli con un elenco di versioni notoriamente vulnerabili ad attacchi DoS, NON viola questa policy.

Inoltre, uno strumento o servizio di sicurezza che si limita ad arrestare in modo anomalo un processo in esecuzione sugli asset AWS, temporaneamente o meno, se necessario per lo sfruttamento remoto o locale nell’ambito della valutazione della sicurezza, NON viola questa policy. Tuttavia, tale strumento NON deve eseguire flooding di protocolli o flooding di richieste di risorse, come indicato sopra.

Sono espressamente vietati strumenti o servizi di sicurezza che creino, determinino l’esistenza o dimostrino una condizione DoS in QUALUNQUE altro modo, effettivo o simulato.

Alcuni strumenti o servizi includono effettive capacità DoS come descritto, in modo silente/implicito se utilizzati in modo inappropriato oppure come test/verifica esplicita o funzionalità dello strumento o servizio. Qualsiasi strumento o servizio di sicurezza che dispone di tale capacità DoS deve avere la capacità esplicita di DISABILITARE, DISATTIVARE o rendere altrimenti INNOCUA tale capacità DoS. In caso contrario, lo strumento o servizio NON può essere impiegato per ALCUN aspetto della valutazione della sicurezza.

È esclusiva responsabilità del cliente AWS: (1) assicurarsi che gli strumenti e i servizi impiegati per eseguire una valutazione della sicurezza siano configurati correttamente e funzionino in modo da non eseguire attacchi DoS né loro simulazioni e (2) verificare in modo indipendente che lo strumento o servizio impiegato non esegua attacchi DoS, né loro simulazioni, PRIMA della valutazione della sicurezza di qualsiasi asset AWS. Questa responsabilità del cliente AWS include la garanzia che le terze parti incaricate eseguano le valutazioni della sicurezza in modo da non violare questa policy.

Inoltre, sei responsabile di eventuali danni ad AWS o ad altri clienti AWS causati dalle tue attività di test o di valutazione della sicurezza.