Yetkili DDoS Testi: Hukuki ve Güvenli Çerçeve

Bir DDoS savunmasını test etmek, yapısı gereği saldırıdan ayırt edilemeyen trafik üretmek demektir. Bu sayfadaki her şey, o gerçeğin niyet iyi olduğunda ortadan kalkmayan hukuki ve operasyonel sonuçları olduğu için var.

Buradaki metin teknik uygulama rehberidir, hukuki görüş değildir. Yükümlülüklerinizi yetkin bir hukuk müşaviriyle ve düzenleyici söz konusuysa düzenleyiciyle doğrulayın.

İlk paketten önce neyin doğru olması gerekir

Cihaz	Gereklilik	Karşılayan	Karşılamayan
Yetki	Hedef varlığın hukuki sahibinden imzalı talimat	Sözlü onay ya da yetkisi olmayan birinden gelen e-posta
Kapsam	Adı yazılmış adresler, hizmetler ve zaman pencereleri	Üretim ortamımız
Sağlayıcı rızası	Yoldaki barındırma, transit ve bulut sağlayıcılarından yazılı teyit	Sözleşmenin izin verdiğini varsaymak
İptal	Adı yazılmış kişi, beyan edilmiş koşul ve test edilmiş bir erişim kanalı	Bir şey ters giderse durdurma niyeti
Kanıt	Saklanan kayıtlar ve yazılı test tutanağı	Üretecin kendi özet ekranı

İkinci sütun, bir olay incelemesinin, sigortacının ya da düzenleyicinin görmek isteyeceği şeydir. Üçüncü sütun ise ekiplerin çoğunda gerçekten olan şeydir.

Varlık sahibinden yazılı yetki

İmza yetkisi olan biri tarafından imzalanmış, kapsamdaki sistemleri ve pencereyi adlandıran bir belge. Bir mühendisin kurumun onaylayacağına dair inancı yetki değildir ve bu ayrım, tam da düzgün yapılmış olmasını isteyeceğiniz durumda önem kazanır.

Kesin bir kapsam

Adresler, alan adları, hizmetler ve zaman pencereleri, yazılı. “Üretim” bir kapsam değildir. Kesin olmanın sebebi bürokratik değildir: kapsam, iptal kararının kendisine göre ölçüldüğü şeydir ve sonradan bir soruşturmacıya olanın test olduğunu, başka bir şey olmadığını söyleyen şeydir.

Sağlayıcı teyidi

Barındırma sağlayıcıları, transit sağlayıcıları ve bulut platformları test trafiğinizi başka müşterilerle paylaşılan altyapıda taşır. Teyitleri iki ayrı sebeple gerekir: faaliyeti sözleşme açısından izinli kılar ve kendi savunmalarının testinizi azaltıp sonucu geçersiz kılmasını önler.

Reddin sorun değil hâlâ yararlı bilgi olacağı kadar erken sorun.

Bir iptal koşulu ve adı yazılmış sahibi

Beyan edilmiş bir koşul, adı yazılmış bir kişi ve test edilmiş bir kanal. Yük altında kullanmayı düşündüğünüz kanal bozulmuş olabilir; bu, önceden yapılması en iyi olan bir keşiftir.

Nerede test edilir

Üretimi taklit eden bir laboratuvar en güvenli ve en az bilgi veren yerdir, çünkü genelde ölçtüğünüz özellik — savunmanın sizin gerçek trafik karışımınıza karşı nasıl davrandığı — tam da laboratuvarda olmayan şeydir.

Üretim, tanımlı bir pencerede ve doygunluğun altında yararlı ölçümlerin bulunduğu yerdir. Bunu kabul edilebilir kılan disiplin, hattı değil cihazı test etmektir: yukarı akışın dolduğu seviyenin bilinçli olarak altında kalmak, çünkü dolmuş bir yukarı akış yukarı akışı ölçer ve üzerindeki herkesi etkiler.

Asla üçüncü bir tarafa değil. Rakibe değil, hedef olarak sağlayıcının ortak altyapısına değil, “fark etmeyecek bir kamu hizmetine” değil. Bunun savunulabilir bir sürümü yok.

Trafik üretimi

Denetlediğiniz, hızı beyan edilmiş, kaynak kümesi belli ve durdurması çalışan bir üreteç kullanın. Nitelikli kategoriler şunlardır: ticari test platformları, sahibi olduğunuz altyapıda çalıştırılan açık kaynak üreteçler ve kapsam anlaşmanız altında işletilen üretici test düzeneği.

Nitelikli olmayan kategori booter ya da stresser hizmetidir. Bunlar rıza çerçevesi olmadan çalışır, sıklıkla ele geçirilmiş üçüncü taraflardan trafik alır ve ne gönderildiği ya da ne zaman duracağı üzerinde size denetim vermez. Sorumluluk birçok ülkede cezaidir ve sonuç kanıt olarak kullanılamaz, çünkü ne olduğunu tarif edemezsiniz.

Bu sayfa bir hedefe karşı trafik üretmek için araç, yapılandırma ya da teknik vermez. Konu test edilecek kontroller ve onları ölçme biçimidir; saldırının nasıl kurulacağı değil.

Düzenleyici bağlam

Birkaç rejim bir kurumdan güvenlik önlemlerine sahip olmasını değil etkinliklerini değerlendirmesini ister ve erişilebilirlik bu yükümlülüğün tam ortasındadır NIS2 Directive. Finans sektöründe yükümlülükler daha özgüldür; yapılandırılmış bir ileri düzey test rejimi ile kapsam, senaryolar ve giderim konusunda açık beklentiler dahil DORA Regulation.

Bundan iki şey çıkar. Birincisi, yazılı kayıt üreten bir test his üreten bir testten belirgin biçimde değerlidir, çünkü yükümlülüğün istediği kanıt o kayıttır. İkincisi, masabaşı tatbikat yükümlülüğün bir kısmını riskin çok altında karşılar — ve müdahalenizin karar verme yarısı için trafik testinden daha iyi karşılar.

Kanıt ve geri alma

Test tutanağını olay kanıtı gibi saklayın: yetki, kapsam, test edilen yapılandırma, üreteç ayarları, her koşu için zaman damgaları, ölçümler, varsa iptal olayları ve sonucunda ne değiştiği.

Geri almayı testten önce planlayın. Test için değiştirilen her yapılandırma beyan edilmiş bir sırayla geri alınır, sonrasında doğrulanır ve kaydedilir. Üretime sessizce sızan test günü değişiklikleri, sonraki olayların tekrarlayan bir kaynağıdır.

Yasak ve güvensiz desenler

• Sahibi olmadığınız ya da yazılı yetkiniz bulunmayan hiçbir şeyi test etmek.
• Booter ya da stresser hizmeti kullanmak.
• Ortak altyapıyı dolduracak hacimde test etmek.
• İptal sahibi, kontrol edilmiş bir kanaldan ulaşılabilir olmadan test etmek.
• İş zirvesinde, bunun testin amacı olduğuna dair açık bir karar olmadan test etmek.
• Test yapılandırmasını üretimde bırakmak.
• Neyi test edemediğini söylemeden sonuç raporlamak.

Sonuçla ne yapılır

Bir test sonucu, ürün değerlendiriyorsanız deneme kurulumu metodolojisinin, süreç tatbik ediyorsanız olay müdahale el kitabının girdisidir. Biri olmadan diğeri işe yaramaz: iyi performans gösteren bir savunma ile onu işletemeyen bir ekip, kötü performans gösteren bir savunmayla aynı kesintiyi üretir.

Kaynaklar