ペネトレーションテスト
ペネトレーションテストの AWS カスタマーサポートポリシー
AWS のお客様は、[Permitted Services] (許可されたサービス) の下の次のセクションに記載されているサービスについて、事前の承認なしに AWS インフラストラクチャのセキュリティ評価またはペネトレーションテストを実行できます。さらに、AWS は、お客様がオンプレミス、AWS、またはサードパーティーと契約したテストのために、AWS IP スペースまたは他のクラウドプロバイダー内でセキュリティ評価ツールをホストすることを許可します。Command and Control (C2) を含むすべてのセキュリティテストには、事前の承認が必要です。
これらのアクティビティが、以下に定めるポリシーに準拠するようにしてください。注: お客様が AWS インフラストラクチャまたは AWS サービス自体のセキュリティ評価を実施することは許可されていません。セキュリティ評価で観察された AWS サービスのいずれかでセキュリティの問題を発見した場合は、すぐに AWS セキュリティにお問い合わせください。
お客様のセキュリティテストに関連するアクティビティについて AWS が不正使用レポートを受け取った場合、お客様にそのレポートを転送します。ご返信いただく際には、ユースケースの詳細 (当社がサードパーティーのレポーターとの間で共有できる連絡先情報を含む) をご記載のうえ、認める旨の文言をご提供ください。詳細はこちらを参照してください。
AWS のサービスのリセラーは、お客様のセキュリティテストアクティビティに関する責任を負います。
ペネトレーションテストのカスタマーサービスポリシー
許可されたサービス
- Amazon EC2 インスタンス、WAF、NAT ゲートウェイ、Elastic Load Balancer
- Amazon RDS
- Amazon CloudFront
- Amazon Aurora
- Amazon API Gateway
- AWS AppSync
- AWS Lambda 関数および Lambda Edge 関数
- Amazon Lightsail リソース
- Amazon Elastic Beanstalk 環境
- Amazon Elastic Container Service
- AWS Fargate
- Amazon OpenSearch Service
- Amazon FSx
- Amazon Transit Gateway
- Amazon Bedrock AgentCore
- AWS Global Accelerator
承認されていないサービスをテストすることをご希望のお客様は、AWS サポートまたはアカウント担当者に直接連絡する必要があります。
禁止される行為
承認されていないサービスをテストすることをご希望のお客様は、AWS サポートまたはアカウント担当者に直接連絡する必要があります。
- Amazon Route 53 ホストゾーン経由の DNS ゾーンウォーキング
- Route 53 経由の DNS ハイジャック
- Route 53 経由の DNS ファーミング
- サービス拒否 (DoS)、分散型サービス拒否 (DDoS)、
- シミュレートされた DoS、シミュレートされた DDoS (これらは DDoS シミュレーションテストポリシー の対象となります) ポートフラッディング
- プロトコルフラッディング
- リクエストフラッディング (ログインリクエストフラッディング、API リクエストフラッディング)
- S3 バケット乗っ取り
- サブドメイン乗っ取り
アウトバウンドペネトレーションテストが禁止されているサービス
- Amazon API Gateway
- Amazon Bedrock AgentCore
他のシミュレートされたイベント
すべて開くレッド/ブルー/パープルチームテストは、組織のセキュリティ意識と応答時間をテストするために設計された敵対的なセキュリティシミュレーションです。
秘密の敵対的セキュリティシミュレーションの実施や指揮統制（C2）のホスティングを希望するお客様は、模擬イベントフォームを提出して審査を受ける必要があります。
ネットワークストレステストまたは負荷テストは、大量の正当なトラフィックまたはテストトラフィックを特定のターゲットアプリケーションに送信し、効率的な運用能力が備わっていることを確認するパフォーマンステストです。ネットワークストレステストの実施を希望するお客様は、当社のストレステストポリシーを確認してください。
分散型サービス拒否 (DDoS) 攻撃は、攻撃者が複数ソースからの大量のトラフィックを使用してターゲットとなるアプリケーションの可用性に影響を及ぼそうとする場合に発生します。DDoS シミュレーションテストの実施を希望するお客様は、 DDoS シミュレーションテストポリシーを確認してください。
iPerf は、ネットワークパフォーマンスの測定と調整のためのツールです。iPerfテストを実施したいお客様は、レビュー用にシミュレートイベントフォームを提出する必要があります。
フィッシングシミュレーションは、ユーザーから機密情報の取得を試みる、ソーシャルエンジニアリング攻撃のシミュレーションです。これは、組織のセキュリティを強化するために、ユーザーを特定し、有効な E メールとフィッシングメールの違いについて教育することを目標としています。
模擬フィッシングキャンペーンの実施を希望するお客様は、模擬イベントフォームを提出して審査を受ける必要があります。
マルウェアテストでは、セキュリティ機能を改善するために、悪意のあるファイルまたはプログラムを、アプリケーションまたはウイルス対策プログラムにさらします。
マルウェアテストの実施を希望するお客様は、 Simulated Events フォームを送信して審査を受ける必要があります。
AWS は、迅速に応答し、当社における進捗状況をお客様にお伝えすることに努めています。シミュレートされたイベントフォームを送信して、直接お問い合わせください。(AWS 中国 (寧夏回族自治区および北京) リージョンで事業を行っているお客様は、このシミュレートイベントフォームを使用してください。)
日付、関係するアカウント ID、関係するアセット、連絡先情報 (電話番号や予定されているイベントの詳細な説明など) を必ず含めてください。最初にご連絡を受けてから 2 営業日以内に、リクエストを受け取った旨を、非自動返信でご連絡いたします。
すべての Simulated Event リクエストは、遅くとも開始日の 2 週間前に AWS に送信する必要があります。
当社からの最終的認可を受け取った後は、お客様の側でそれ以上していただくことはありません。お客様は、お客様が示した期間が終了するまでテストを実施できます。
利用規約
すべてのセキュリティテストは AWS セキュリティテストの利用規約に準拠している必要があります。
セキュリティテスト:
- サービス、ネットワーク帯域幅、1 分あたりのリクエスト数、インスタンスタイプに制限されます。
- お客様と AWS の間の Amazon Web Services カスタマーアグリーメントの条項が適用されます
- 次のセクションに含まれるセキュリティ評価ツールおよびサービスの使用に関する AWS のポリシーに従うものとします
AWS のツールやサービスの直接的な結果として発見された脆弱性やその他の問題は、テスト完了から 24 時間以内に AWS Security に報告する必要があります。
セキュリティ評価ツールおよびサービスの使用に関する AWS のポリシー
AWS の セキュリティ評価ツールおよびサービスの使用に関するポリシーは、他の AWS ユーザーを保護し、AWS 全体のサービス品質を保証しながら、AWS アセットのセキュリティ評価を実施するための優れた柔軟性を提供します。
AWS アセットのセキュリティ評価を実施する目的で選択できる、公共、プライベート、商用、またはオープンソースのさまざまなツールやサービスがあることを AWS は理解しています。「セキュリティ評価」という用語は、AWS アセットにおけるセキュリティ管理の有効性または存在を判断する目的で行われるすべてのアクティビティを指します。これには、AWS アセットに対してリモートで、AWS アセット間で、または仮想化されたアセット自体の内部でローカルに実行される、ポートスキャニング、脆弱性のスキャニング/チェック、ペネトレーションテスト、エクスプロイト、ウェブアプリケーションスキャニング、およびあらゆる挿入、偽造、ファジング行為などが含まれます。
AWS アセットのセキュリティ評価を実施するためのツールやサービスの選択に 制限はありません。ただし、お客様所有の、あるいは他のユーザーの AWS アセットに対するサービス妨害 (DoS) 攻撃や攻撃をシミュレートしたものを実行するためのツールやサービスの利用は固く禁止されています。DDoS シミュレーションテストの実行をご希望のお客様は、当社の DDoS シミュレーションテストポリシーをご確認ください。
DoS に対して脆弱であることが知られているバージョンのリストと比較する目的で、「banner grabbing」などにより AWS アセットにリモートクエリを実行してソフトウェア名とバージョンを確認するだけのセキュリティツールは、このポリシーに 違反しません。
また、 セキュリティ評価の一環としてリモートまたはローカルのエクスプロイトに必要な場合に、AWS アセット上で実行中のプロセスを一時的またはその他の方法でクラッシュさせるだけのセキュリティツールやサービスは、このポリシーに違反しません。ただし、前述のように、このツールはプロトコルフラッディングやリソースリクエストフラッディングには関与しない可能性があります。
シミュレートされたものも含み、他の方法において DoS 状態を作成したり、存在を決定したり、実行したりするセキュリティツールは、明示的に禁止されています。
前述のように、 一部のツールやサービスには、不適切に使用された場合に暗黙的/本質的に、あるいはツールやサービスの明示的なテスト/チェックや機能として、実際の DoS 機能が含まれています。そのような DoS 機能を持つセキュリティツールやサービスには、Dos 機能の無効化、解除、あるいは無害化できる明示的な能力が備わっている必要があります。そうでない場合、そのツールやサービスはセキュリティ評価のいかなるファセットにも採用されない可能性があります。
AWS のお客様は、以下の責任を単独で負うものとします。(1) セキュリティ評価の実施に使用するツールおよびサービスが適切に設定され、DoS 攻撃またはそのシミュレーションを実行しない方法で正常に動作することを保証する。(2) AWS アセットのセキュリティ評価を実施する前に、使用するツールまたはサービスが DoS 攻撃またはそのシミュレーションを実行しないことを独自に検証する。 AWS のお客様の責任には、契約した第三者がこのポリシーに違反しない態様でセキュリティ評価を実施するようにすることが含まれています。
さらに、 お客様によるテストまたはセキュリティ評価の活動によって AWS または他の AWS のお客様に生じた損害については、お客様が責任を負うものとします。