滲透測試

歡迎 AWS 客戶對其 AWS 基礎架構進行安全評估或滲透測試，無需事先取得核准，即可使用列於下一節「許可的服務」下方的服務。此外，AWS 允許客戶將其安全評估工具託管在 AWS IP 空間或其他雲端供應商內部，以進行內部部署、AWS 內或第三方合約中的測試。所有包含命令和控制 (C2) 的安全測試均需事先核准。

請務必保證這些活動符合以下政策。注意：客戶不得對 AWS 基礎設施或 AWS 服務本身進行任何安全評估。如果您在安全性評估中觀察到的任何 AWS 服務中發現安全問題，請立即聯絡 AWS Security。

如果 AWS 收到與安全測試活動有關的濫用舉報，我們會將其轉送給您。請您在回覆時，以核准的語言詳述您的使用案例，並包含我們可與任何第三方報告者分享的聯絡人。按一下這裡進一步了解。

AWS 服務的經銷商負責其客戶的安全測試活動。

AWS 關於安全評估工具和服務使用的 政策，為您的 AWS 資產執行安全評估提供極大的靈活性，同時保護其他 AWS 客戶並確保 AWS 整體的服務品質。

AWS 了解目前有多種公有、私有、商業和/或開放原始碼工具和服務可供選擇，以便對您的 AWS 資產進行安全評估。「安全評估」一詞是指為確定 AWS 資產中安全控制的效能或存在而進行的所有活動，例如連接埠掃描、漏洞掃描/檢查、滲透測試、利用漏洞、Web 應用程式掃描，以及任何資料隱碼、偽造或模糊測試活動，而且攻擊途徑不外乎從遠端對您的 AWS 資產發起攻擊、在 AWS 資產之中/之間進行攻擊，或是在虛擬資產本身內部進行攻擊。

您 在選擇執行 AWS 資產安全評估的工具或服務時，不受任何限制。但在使用任何工具或服務時禁止以拒絕服務 (DoS) 攻擊或模擬此類服務的方式攻擊任何 AWS 資產 (您的或其他)。希望執行 DDoS 模擬測試的客戶應參閱我們的 DDoS 模擬測試政策。

為與已知易受 DoS 攻擊的版本清單比對，僅執行 AWS 資產遠端查詢以判斷軟體名稱和版本的安全工具  (例如 "banner grabbing")，並不違反此政策。

此外，在安全評估期間，為進行必要的遠端或本機漏洞利用而以臨時或其他方式導致 AWS 資產執行中程序崩潰的安全工具或服務 ，並不違反此政策。但此工具不得用於上述協定泛洪攻擊或資源請求泛洪攻擊。

明確禁止以任何其他方式 (實際或模擬) 建立、判斷存在或重現 DoS 狀態的安全工具或服務。

有些工具或服務 包含上述實際的 DoS 功能，若使用不當，可能會默默內含此類功能，或作為工具或服務的明確測試/檢查項目或功能而存在。任何具有此類 DoS 功能的安全工具或服務都必須具有停用、解除該 DoS 功能或以其他方式無害呈現的明確能力。否則，該工具或服務不能用於安全評估的任何面向。

AWS 客戶需單獨負責以下事項 ：(1) 確保用於執行安全評估的工具和服務經過適當設定，且能以不執行 DoS 攻擊或模擬此類攻擊的方式正常運作；以及 (2) 在對任何 AWS 資產進行安全評估之前，獨立驗證所使用的工具或服務不會執行 DoS 攻擊或模擬此類攻擊。此 AWS 客戶責任包括確保簽訂合約的第三方以不違反此政策的方式執行安全評估。

此外 ，您需負責賠償因您的測試或安全評估活動而對 AWS 或其他 AWS 客戶造成的任何損失。