Test di intrusione

I test Red/Blue/Purple Team sono simulazioni di sicurezza antagonistiche progettate per testare la consapevolezza e i tempi di risposta della sicurezza di un'organizzazione

I clienti che desiderano eseguire simulazioni di sicurezza antagonistiche segrete e/o effettuare l'hosting di comando e controllo (C2) devono sottoporre un modulo sugli eventi simulati a revisione. 

Il test di stress è un test delle prestazioni che invia un volume elevato di traffico legittimo o di prova a una particolare applicazione target designata per garantire l'efficienza della capacità operativa. L'applicazione di endpoint dovrebbe svolgere la sua funzione prevista nell'ambito del test. Ogni tentativo di sovraccaricare l'obiettivo è considerato un attacco Denial of Service (DoS).

I clienti che desiderano eseguire un test di stress di rete devono consultare la nostra policy sui test di stress. 

iPerf è uno strumento per la misurazione e la regolazione delle prestazioni di rete. Si tratta di uno strumento multipiattaforma che può generare misurazioni delle prestazioni standardizzate per qualsiasi rete.

I clienti che desiderano eseguire un test iPerf devono sottoporre un modulo sugli eventi simulati a revisione. 

L'attacco Distributed Denial of Service (DDoS) si verifica quando gli utenti malintenzionati utilizzano ingenti quantità di traffico proveniente da più fonti per tentare di condizionare la disponibilità di una determinata applicazione. Il test di simulazione DDoS utilizza un attacco DDoS controllato per consentire al proprietario di un'applicazione di valutare la resilienza dell'applicazione e di esercitarsi nella risposta all'evento.

I clienti che desiderano fare un test di simulazione DDoS dovrebbero consultare la nostra policy sui test di simulazione DDoS. 

Il phishing simulato è la simulazione di un tentato attacco all'ingegneria sociale che tenta di ottenere informazioni sensibili dagli utenti. L'obiettivo è identificare gli utenti e informarli sulla differenza tra e-mail valide e di phishing per aumentare la sicurezza organizzativa.

I clienti che desiderano eseguire campagne di phishing simulato devono sottoporre un modulo sugli eventi simulati per la revisione. 

Il test di malware è la pratica di sottoporre file o programmi dannosi ad applicazioni o programmi antivirus per migliorare le caratteristiche di sicurezza.

I clienti che desiderano eseguire un test di malware devono sottoporre un modulo sugli eventi simulati a revisione. 

AWS si impegna a rispondere il più velocemente possibile e a informarti costantemente sullo stato di avanzamento della richiesta. Invia un modulo sugli eventi simulati per contattarci direttamente. I clienti che operano nella Regione AWS Cina (Ningxia e Pechino) devono utilizzare questo modulo sugli eventi simulati.

Assicurati di includere date, ID degli account coinvolti, asset coinvolti e informazioni di contatto, incluso il numero di telefono e la descrizione dettagliata degli eventi pianificati. In genere viene inviata una risposta non automatica entro 2 giorni lavorativi dal contatto iniziale, a conferma della ricezione della richiesta.

Tutte le richieste di eventi simulati devono essere presentate ad AWS almeno due (2) settimane prima della data di inizio.

Dopo aver ricevuto l'autorizzazione, non è più necessaria alcuna azione da parte tua. Puoi quindi avviare i test per tutto il periodo dichiarato.

La policy di AWS riguardante l’utilizzo di strumenti e servizi di valutazione della sicurezza consente una notevole flessibilità per l’esecuzione di valutazioni della sicurezza degli asset AWS proteggendo al contempo gli altri clienti AWS e assicurando la qualità del servizio in AWS in generale.

AWS è consapevole dell’esistenza di una varietà di strumenti e servizi pubblici, privati, commerciali e/o open source tra cui scegliere al fine di eseguire una valutazione della sicurezza degli asset AWS. Il termine “valutazione della sicurezza” si riferisce a tutte le attività intraprese allo scopo di determinare l’efficacia o l’esistenza di controlli di sicurezza tra gli asset AWS, ad esempio scansione delle porte, scansione/verifiche delle vulnerabilità, test di intrusione, sfruttamento, scansione di applicazioni web, nonché attività di injection, frode o fuzzing, eseguite da remoto contro gli asset AWS, o tra gli asset AWS, oppure all’interno degli asset virtualizzati stessi.

NON esistono limiti nella selezione di strumenti o servizi per eseguire una valutazione di sicurezza dei propri asset AWS. Tuttavia, SUSSISTE il divieto di utilizzare strumenti o servizi in modo tale da eseguire attacchi o simulazioni di tipo Denial-of-Service (DoS) su QUALUNQUE asset AWS, di proprietà o meno. I clienti che desiderano fare un test di simulazione DDoS dovrebbero consultare la nostra policy sui test di simulazione DDoS.

Uno strumento di sicurezza che esegue esclusivamente una query remota degli asset AWS per determinare un nome e una versione del software, come "banner grabbing", al fine di eseguire un confronto con un elenco di versioni notoriamente vulnerabili a DoS, NON costituisce una violazione di questa politica.

Inoltre, uno strumento o servizio di sicurezza che si limiti ad arrestare improvvisamente un processo in esecuzione sugli asset AWS di proprietà, in modo temporaneo o meno, ove necessario per lo sfruttamento remoto o locale nell’ambito della valutazione di sicurezza, NON costituisce una violazione di questa policy. Tuttavia, tale strumento NON deve intraprendere flooding di protocolli o flooding di richieste come sopra menzionato.
 Sono espressamente vietati strumenti o servizi di sicurezza che creino, determinino l’esistenza o dimostrino una condizione DoS in QUALUNQUE altro modo, effettivo o simulato.

Alcuni strumenti e servizi includono effettive capacità DoS come descritto, in modo silente/implicito se utilizzati in modo inappropriato oppure come test esplicito/verifica o funzionalità dello strumento o servizio. Tutti gli strumenti o servizi che dispongono di questa capacità DoS devono avere la capacità esplicita di DISABILITARE, DISATTIVARE o rendere altrimenti INNOCUA tale capacità DoS. In caso contrario, lo strumento o servizio NON può essere impiegato per alcun aspetto della valutazione di sicurezza.

È esclusiva responsabilità del cliente AWS: (1) assicurare che gli strumenti e servizi impiegati per eseguire una valutazione di sicurezza siano correttamente configurati e funzionanti in modo da non eseguire attacchi o simulazioni DoS né loro simulazioni; (2) confermare in modo indipendente che lo strumento o servizio utilizzato non esegua attacchi o simulazioni DoS PRIMA della valutazione di sicurezza di asset AWS. Questa responsabilità del cliente AWS include la garanzia che i terzi appaltatori eseguano le valutazioni di sicurezza in modo da non violare la presente policy.

Inoltre, l'utente è responsabile per eventuali danni ad AWS o ad altri clienti AWS causati dalle sue attività di test o di valutazione della sicurezza.