침투 테스트
침투 테스트용 AWS 고객 지원 정책
AWS 고객은 다음 섹션의 “허용 서비스”에 나열된 서비스에 대해 사전 승인 없이 AWS 인프라에 대한 보안 평가 또는 침투 테스트를 수행할 수 있습니다. 또한, AWS는 고객이 AWS IP 공간 내의 보안 평가 도구나, AWS 또는 계약한 타사 온프레미스 클라우드 공급자의 보안 평가 도구를 호스팅하여 테스트를 수행하는 것을 허가합니다. 명령 및 제어(C2)를 포함하는 모든 보안 테스트는 사전 승인이 필요합니다.
이러한 활동이 아래 명시된 정책에 부합하는지 확인하세요. 참고: 고객은 AWS 인프라 또는 AWS 서비스 자체의 보안 평가를 수행할 수 없습니다. 보안 평가에서 관찰된 AWS 서비스 내에서 보안 문제가 발견되면 즉시 AWS Security에 문의하세요.
AWS는 보안 테스트와 관련된 활동에 대한 악용 사례 보고서를 받을 경우 이를 고객에게 전달합니다. 응답 시 타사 신고자와 공유할 수 있는 연락처를 포함하여 승인된 언어로 사용 사례를 자세히 설명하여 제공하세요. 여기에서 자세히 알아보십시오.
AWS 서비스의 리셀러는 고객의 보안 테스트 활동에 대한 의무가 있습니다.
침투 테스트용 고객 서비스 정책
허용 서비스
- Amazon EC2 인스턴스, WAF, NAT 게이트웨이, Elastic Load Balancer
- Amazon RDS
- Amazon CloudFront
- Amazon Aurora
- Amazon API Gateway
- AWS AppSync
- AWS Lambda 및 Lambda Edge 함수
- Amazon Lightsail 리소스
- Amazon Elastic Beanstalk 환경
- Amazon Elastic Container Service
- AWS Fargate
- Amazon OpenSearch Service
- Amazon FSx
- Amazon Transit Gateway
- Amazon Bedrock AgentCore
- AWS Global Accelerator
승인되지 않은 서비스를 테스트하려는 고객은 AWS Support 또는 계정 담당자에게 직접 문의해야 합니다.
금지 활동
승인되지 않은 서비스를 테스트하려는 고객은 AWS Support 또는 계정 담당자에게 직접 문의해야 합니다.
- Amazon Route 53 Hosted Zones를 통한 DNS zone walking
- Route 53를 통하여 DNS 하이재킹
- Route 53를 통하여 DNS 파밍
- 서비스 거부(DoS), 분산 서비스 거부(DDoS),
- 시뮬레이션된 DoS, 시뮬레이션된 DDoS(DDoS 시뮬레이션 테스트 정책 적용 대상) 포트 플러딩
- 프로토콜 플러딩
- 요청 플러딩(로그인 요청 플러딩, API 요청 플러딩)
- S3 버킷 테이크오버
- 서브도메인 테이크오버
아웃바운드 침투 테스트가 금지된 서비스
- Amazon API Gateway
- Amazon Bedrock AgentCore
이용 약관
모든 보안 테스트는 AWS 보안 테스트 이용 약관에 부합해야 합니다.
보안 테스트:
- 서비스, 네트워크 대역폭, 분당 요청 및 인스턴스 유형으로 제한됩니다.
- 사용자와 AWS 간 Amazon Web Services 고객 계약 약관이 적용됩니다.
- 보안 평가 도구 및 서비스(다음 섹션에 포함)의 사용에 관한 AWS의 정책을 준수합니다.
AWS 도구 또는 서비스의 직접적인 결과로 발견된 모든 취약성 또는 기타 문제는 테스트 완료 후 24시간 이내에 AWS Security에 전달해야 합니다.
보안 평가 도구 및 서비스 사용에 관한 AWS 정책
보안 평가 도구 및 서비스 사용과 관련한 AWS의 정책은 다른 AWS 고객을 보호하고 AWS 전반의 서비스 품질을 보장하는 동시에 AWS 자산의 보안 평가를 수행하는 데 상당한 유연성을 제공합니다.
AWS는 AWS 자산의 보안 평가를 수행하기 위해 선택할 수 있는 공개, 비공개, 상업용 및/또는 오픈 소스 도구 및 서비스가 다양하다는 것을 이해하고 있습니다. '보안 평가'라는 용어는 투입, 위조 또는 퍼즈 활동을 비롯해 AWS 자산에 대해 원격으로 수행되거나, AWS 자산 간에 또는 가상화된 자산 자체 내에서 로컬로 수행되는 포트 스캐닝, 취약성 스캐닝/확인, 침투 테스트, 악용, 웹 애플리케이션 스캐닝과 같이 AWS 자산 간의 보안 제어의 효용성 또는 존재를 결정하기 위해 수행되는 모든 활동을 의미합니다.
AWS 자산의 보안 평가를 수행하기 위한 도구 또는 서비스 선택에 제한이 없습니다. 그러나 서비스 거부(DoS) 공격 또는 모든 AWS 자산과 같은 시뮬레이션을 수행하는 방식으로 도구 또는 서비스를 이용하는 것은 금지됩니다. DDoS 시뮬레이션 테스트를 수행하려는 고객은 AWS의 DDoS 시뮬레이션 테스트 정책을 검토해야 합니다.
DoS에 취약한 것으로 알려진 버전 목록과 비교하기 위한 목적으로 '배너 그래빙'과 같이 소프트웨어 이름과 버전을 확인하기 위해 AWS 자산의 원격 쿼리만 수행하는 보안 도구는 이 정책을 위반하지 않습니다.
또한 보안 평가의 일환으로 원격 또는 로컬 악용에 필요한 경우 AWS 자산에서 실행 중인 프로세스를 일시적으로 또는 그 외의 방식으로 충돌시키기만 하는 보안 도구 또는 서비스는 이 정책을 위반하지 않습니다. 그러나 이 도구는 위에서 언급 한 것처럼 프로토콜 플러딩 또는 리소스 요청 플러딩에 관여하지 않을 수 있습니다.
실제 또는 시뮬레이션된 다른 모든 방법으로 DoS 조건을 생성, 존재의 결정 또는 입증하는 보안 도구 또는 서비스는 명확히 금지됩니다.
일부 도구 또는 서비스에는 부적절하게 사용될 경우 자동으로나 본질적으로 또는 도구나 서비스의 명시적 테스트 및 확인이나 기능으로서 설명된 실제 DoS 기능이 포함됩니다. 그러한 DoS 기능을 가진 모든 보안 도구 또는 서비스는 Dos 기능을 비활성화, 무장 해제나 그렇지 않으면 무해 상태로 만들 수 있는 명백한 기능이 있어야 합니다. 그렇지 않으면, 해당 도구 또는 서비스는 보안 평가의 어떤 패싯에도 적용할 수 없을 수 있습니다.
AWS 고객은 다음에 대한 단독 책임이 있습니다. (1) 보안 평가 수행을 위해 사용하는 도구와 서비스가 DoS 공격이나 그 시뮬레이션을 수행하지 않는 방식으로 올바르게 구성되고 성공적으로 작동하는지 확인합니다. 그리고 (2) AWS 자산의 보안 평가 이전에 사용하는 도구 또는 서비스가 DoS 공격 또는 그 시뮬레이션을 수행하지 않는지 독립적으로 검증합니다. 이 AWS 고객에 대한 의무는 계약한 제3자가 이 정책을 위반하지 않는 방식으로 보안 평가를 수행하도록 보장하는 것을 포함합니다.
또한 귀하는 테스트 또는 보안 평가 활동으로 인해 AWS 또는 기타 AWS 고객에게 발생하는 모든 손해에 대해 책임을 집니다.