Teste de penetração

Os clientes da AWS podem realizar avaliações de segurança ou testes de penetração em sua infraestrutura da AWS sem aprovação prévia para os serviços listados na próxima seção em “Serviços permitidos”. Além disso, a AWS permite que os clientes hospedem suas ferramentas de avaliação de segurança no espaço de IP da AWS ou em outro provedor de nuvem para testes on-premises, na AWS ou contratados de terceiros. Todos os testes de segurança que incluem a infraestrutura de Comando e Controle (C2) exigem uma aprovação prévia.

Verifique se essas atividades estão alinhadas com a política definida a seguir. Observação: Os clientes não têm permissão para realizar qualquer avaliação de segurança da infraestrutura da AWS ou dos próprios serviços da AWS. Se você descobrir um problema de segurança em qualquer um dos serviços da AWS observados em sua avaliação de segurança, entre em contato com o AWS Security imediatamente.

Se a AWS receber uma denúncia de abuso relacionada a atividades executadas em seus testes de segurança, encaminharemos essa denúncia a você. Ao responder, solicitamos que nos forneça um texto aprovado detalhando o seu caso de uso, incluindo um ponto de contato que possamos compartilhar com terceiros denunciantes. Saiba mais aqui.

Os revendedores de serviços da AWS são responsáveis pelas atividades de testes de segurança de seus clientes.

A política da AWS sobre o uso de ferramentas e serviços de avaliação de segurança proporciona flexibilidade considerável na execução de avaliações de segurança de seus ativos na AWS, além de proteger os outros clientes da AWS e garantir a qualidade de serviço em toda a AWS.

A AWS entende que existe uma variedade de ferramentas e serviços públicos, privados, comerciais e de código aberto para escolher ao realizar uma avaliação de segurança dos seus ativos na AWS. O termo "avaliação de segurança" refere-se a todas as atividades executadas para determinar a eficácia ou a existência de controles de segurança entre os ativos da AWS como, por exemplo, varredura de portas, varredura/verificações de vulnerabilidades, testes de penetração, exploração de falhas, varredura de aplicações web, bem como qualquer atividade de injeção, falsificação ou fuzzing, seja realizada remotamente contra seus ativos na AWS, entre seus próprios ativos na AWS ou localmente dentro dos próprios ativos virtualizados.

A sua escolha de ferramentas ou serviços para executar uma avaliação de segurança de seus ativos na AWS NÃO é limitada. No entanto, É proibido utilizar qualquer ferramenta ou serviço de forma a gerar ataques ou simulações de negação de serviço (DoS) contra QUALQUER ativo da AWS, seu ou de outros. Os clientes que desejarem executar um teste de simulação de DDoS devem consultar nossa política de teste de simulação de DDoS.

Uma ferramenta de segurança que faz apenas uma consulta remota do seu ativo da AWS para determinar o nome e a versão de um software, como uma "captura de banner," com o objetivo de comparação com uma lista de versões sabidamente vulneráveis a DoS, NÃO constitui violação desta política.

Além disso, uma ferramenta ou serviço de segurança que apenas interrompa um processo em execução em seu ativo na AWS, seja de forma temporária ou não, conforme necessário para exploração remota ou local como parte da avaliação de segurança, NÃO constitui violação desta política. No entanto, essa ferramenta NÃO pode realizar inundação de protocolo ou solicitação de recursos, como mencionado acima.

É expressamente proibida a utilização de uma ferramenta ou serviço de segurança que crie, determine a existência ou demonstre uma condição de DoS de QUALQUER outra maneira, real ou simulada.

Algumas ferramentas ou serviços incluem recursos reais de DoS, conforme descrito, seja de forma implícita/inerente se utilizados de maneira inadequada, ou como um teste/verificação explícito ou recurso da ferramenta ou serviço. Qualquer ferramenta ou serviço de segurança que tenha recursos de DoS deve ter a capacidade explícita de DESABILITAR, DESARMAR ou de outra forma TORNAR INOFENSIVO esse recurso de DoS. Caso contrário, essa ferramenta ou serviço NÃO poderá ser utilizada para NENHUM aspecto da avaliação de segurança.

É de responsabilidade exclusiva do cliente da AWS: (1) garantir que as ferramentas e serviços empregados na realização de uma avaliação de segurança estejam devidamente configurados e funcionem com sucesso sem realizar ataques de DoS ou simulações destes, e (2) validar de forma independente que a ferramenta ou serviço empregado não realize ataques de DoS, ou simulações destes, ANTES da avaliação de segurança de quaisquer ativos na AWS. Essa responsabilidade do cliente da AWS inclui garantir que terceiros contratados realizem avaliações de segurança de uma maneira que não viole esta política.

Além disso, você é responsável por quaisquer danos à AWS ou a outros clientes da AWS causados por suas atividades de testes ou avaliações de segurança.