Tests d’intrusion

Les clients AWS peuvent effectuer des évaluations de sécurité ou des tests d’intrusion de leur infrastructure AWS sans autorisation préalable pour les services énumérés dans la section « Services autorisés » ci-dessous. En outre, AWS autorise ses clients à héberger leurs outils d’évaluation de la sécurité dans l’espace d’adressage IP AWS ou chez un autre fournisseur de cloud, pour effectuer des tests sur site, sur AWS ou auprès de tiers liés par contrat. Tous les tests de sécurité impliquant des systèmes de commande et de contrôle (C2) nécessitent une autorisation préalable.

Veillez à ce que ces activités respectent la politique décrite ci-dessous. Remarque : les clients ne sont pas autorisés à effectuer des évaluations de sécurité de l’infrastructure AWS ou des services AWS eux-mêmes. Si vous découvrez un problème de sécurité dans l’un des services AWS observés lors de votre évaluation de sécurité, veuillez contacter AWS Security immédiatement.

Si AWS reçoit un signalement d’abus concernant des activités liées à vos tests de sécurité, elle vous le transmettra. Dans votre réponse, veuillez nous fournir une formulation approuvée décrivant votre cas d’utilisation, notamment les coordonnées d’un interlocuteur que nous pourrons communiquer aux tiers à l’origine des signalements. Pour en savoir plus, cliquez ici.

Les revendeurs de services AWS sont responsables des activités de test de sécurité de leurs clients.

La politique d’AWS relative à l’utilisation des outils et services d’évaluation de la sécurité offre une grande souplesse pour évaluer la sécurité de vos ressources AWS, tout en protégeant les autres clients AWS et en garantissant la qualité du service sur AWS.

AWS comprend qu’il existe de nombreux outils et services publics, privés, commerciaux ou open source parmi lesquels choisir pour évaluer la sécurité de vos ressources AWS. L’expression « évaluation de sécurité » désigne toutes les activités visant à déterminer l’efficacité ou l’existence de contrôles de sécurité sur vos ressources AWS, p. ex. l’analyse de ports, la recherche de vulnérabilités, les tests d’intrusion, l’exploitation de failles, l’analyse d’applications Web, ainsi que toute activité d’injection, de falsification ou de fuzzing, effectuée à distance sur vos ressources AWS, entre vos ressources AWS ou localement dans les ressources virtualisées elles-mêmes.

Vous n’êtes PAS limité dans votre choix d’outils ou de services pour effectuer une évaluation de sécurité de vos ressources AWS. Toutefois, il vous est INTERDIT d’utiliser des outils ou des services d’une manière susceptible de provoquer des attaques par déni de service (DoS) ou des simulations de telles attaques contre TOUTE ressource AWS, qu’elle vous appartienne ou non. Les clients souhaitant réaliser un test de simulation DDoS doivent consulter notre politique relative aux tests de simulation DDoS.

Un outil de sécurité qui se contente d’interroger à distance une ressource AWS pour déterminer le nom et la version d’un logiciel, par exemple au moyen d’une « récupération de bannière », afin de comparer ces informations à une liste de versions connues pour être vulnérables aux attaques DoS, n’enfreint PAS cette politique.

De même, un outil ou service de sécurité qui provoque uniquement l’arrêt d’un processus en cours d’exécution sur votre ressource AWS, temporairement ou non, lorsque cela est nécessaire à une exploitation à distance ou locale dans le cadre de l’évaluation de sécurité, n’enfreint PAS cette politique. Cependant, cet outil ne doit PAS provoquer d’inondation de protocoles ou de requêtes de ressources, comme indiqué ci-dessus.

Un outil ou service de sécurité qui crée, constate ou démontre une situation de DoS par TOUT autre moyen, réel ou simulé, est expressément interdit.

Certains outils ou services comportent de réelles capacités de DoS, comme décrit ci-dessus, soit de manière implicite ou silencieuse en cas d’utilisation inappropriée, soit sous la forme d’un test, d’un contrôle ou d’une fonctionnalité explicite. Tout outil ou service de sécurité doté d’une telle capacité de DoS doit impérativement permettre de DÉSACTIVER, de NEUTRALISER ou de rendre INOFFENSIVE cette capacité de DoS. Dans le cas contraire, cet outil ou service ne peut être utilisé pour AUCUN aspect de l’évaluation de sécurité.

Il incombe exclusivement au client AWS de (1) s’assurer que les outils et services employés pour évaluer la sécurité sont correctement configurés et fonctionnent sans provoquer d’attaques DoS ni de simulations de telles attaques et (2) vérifier de manière indépendante que les outils ou services employés ne provoquent pas d’attaques DoS ni de simulations de telles attaques AVANT toute évaluation de sécurité de ressources AWS. Cette responsabilité du client AWS implique également de veiller à ce que les tiers sous contrat effectuent leurs évaluations de sécurité sans enfreindre la présente politique.

En outre, vous êtes responsable de tout dommage causé à AWS ou à d’autres clients AWS par vos activités de test ou d’évaluation de sécurité.