DDoS-Tests: Autorisierung, Rechtslage und Provider-Freigabe

Ein DDoS-Resilienztest erzeugt bewusst Datenverkehr, der Ihre Abwehrmechanismen unter Last setzen soll. Ohne ordnungsgemäße Autorisierung kann dieselbe Aktivität genau wie ein Angriff aussehen, und in vielen Rechtsordnungen kann das Senden störenden Datenverkehrs an Systeme ohne Erlaubnis eine Straftat sein. Die Autorisierung ist daher keine Formalität. Sie ist die Grundlage, die einen Test rechtmäßig, sicher und nützlich macht. Dieser Leitfaden beschreibt, was die Autorisierung von DDoS-Tests üblicherweise umfasst und welche Parteien zustimmen müssen, bevor Datenverkehr gesendet wird. Er dient der allgemeinen Information und ist keine Rechtsberatung.

Was es ist

Autorisierung für einen DDoS-Test bedeutet, dass alle, die ein berechtigtes Interesse an den Zielsystemen haben, einem definierten Test schriftlich zugestimmt haben. Dazu gehören normalerweise der geschäftliche Eigentümer des Dienstes, der technische Verantwortliche und jeder Anbieter, der einen Teil des Pfads betreibt: Hosting-Unternehmen, Cloud-Plattformen, CDNs, DDoS-Mitigation-Dienste, ISPs und mitunter vorgelagerte Carrier. Der Besitz einer Domain oder das Bezahlen von Hosting gibt Ihnen allein nicht das Recht, angriffsähnlichen Datenverkehr auf die gemeinsam genutzte Infrastruktur eines Anbieters zu richten. Viele Cloud- und CDN-Anbieter veröffentlichen Testrichtlinien; manche verlangen eine Vorankündigung, den Einsatz zugelassener Dienstleister oder bestimmte Grenzen, und manche untersagen bestimmte Testarten. Über die Erlaubnis hinaus dokumentiert die Autorisierung den Scope: Zieladressen und Hostnamen, Arten des Datenverkehrs, Höchstraten, Zeitfenster, Vorkehrungen zur Überwachung, benannte Ansprechpartner auf jeder Seite und Bedingungen, unter denen der Test sofort abgebrochen wird.

Für wen es gedacht ist

Dieser Leitfaden ist relevant für:

Sicherheits- und Infrastrukturverantwortliche, die einen ersten DDoS-Resilienztest planen
Unternehmen, die sich auf ein CDN oder einen Mitigation-Dienst verlassen und prüfen möchten, ob dieser wie erwartet funktioniert
Einkaufsteams, die Angebote für DDoS-Tests bewerten
Führungskräfte, die vor der Freigabe eines Tests die rechtliche und vertragliche Grundlage bestätigen müssen

Was es zu klären hilft

Die Arbeit an der Autorisierung hilft zu klären:

welche Systeme Ihnen gehören und welche von Anbietern betrieben werden, deren Erlaubnis erforderlich ist
ob die Testrichtlinien der Anbieter Arten des Datenverkehrs, Raten oder Zeitpunkte einschränken
wer den Test jederzeit stoppen kann und wie diese Person erreicht wird
welche geschäftlichen Auswirkungen akzeptabel sind und was einen sofortigen Abbruch auslösen würde

Was ist enthalten

Schriftliche Autorisierung, unterzeichnet von einer Person mit Entscheidungsbefugnis über den Zieldienst
Inventar der IP-Adressen und Hostnamen im Scope sowie der Anbieter im Pfad des Datenverkehrs
Prüfung der Testrichtlinie jedes Anbieters und, wo erforderlich, dessen schriftliche Freigabe oder Referenz der Benachrichtigung
Definierte Verkehrsszenarien, Höchstraten und Dauer für jedes Szenario
Mit den Fachbereichen abgestimmtes Testfenster außerhalb von Spitzenzeiten und kritischen Ereignissen
Benannte Ansprechpartner auf beiden Seiten mit einem getesteten Kommunikationskanal
Klare Abbruchbedingungen und eine bestätigte Methode, den Datenverkehr sofort zu stoppen
Vereinbarung zu Überwachung, Erhebung von Belegen und Berichterstattung über die Ergebnisse

Was nicht enthalten ist

Tests gegen Systeme, für die die Autorisierung des Eigentümers oder Anbieters fehlt
Rechtsberatung zu straf-, vertrags- oder aufsichtsrechtlichen Fragen
Anleitungen zur Erzeugung von Angriffsverkehr
Die Behauptung, dass ein Test Immunität gegen echte Angriffe belegt

Wann man es wählt

Beginnen Sie mit der Autorisierung mehrere Wochen vor dem geplanten Testtermin, denn Freigaben von Anbietern können Zeit beanspruchen. Überprüfen Sie sie, sobald sich Ziel, Anbieter oder Zeitfenster ändern; eine Änderung bei einem dieser Punkte ist eine Änderung des Scopes, keine informelle Anpassung. Lehnt ein Anbieter die Freigabe eines Tests ab, respektieren Sie diese Entscheidung und besprechen Sie Alternativen, etwa Tests an einer Nicht-Produktionsreplik oder stattdessen eine Prüfung der Konfiguration. Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung.

Unser Ansatz

Wir behandeln die Autorisierung als Teil des Auftrags, nicht als vorgelagerten Papierkram. Der Scope wird schriftlich bestätigt, Anforderungen der Anbieter werden früh ermittelt, und der Kunde holt alle erforderlichen Freigaben Dritter ein. Unser Service DDoS Resilience Testing bewertet vereinbarte Störungsszenarien innerhalb schriftlich festgelegter Grenzen, mit kontrollierter Beobachtung, einer Zusammenfassung der Resilienzlücken und priorisierten Empfehlungen. Während des Tests können benannte Ansprechpartner die Arbeit jederzeit pausieren oder stoppen. Der Auftrag liefert Nachweise über die vereinbarte Umgebung während des Testfensters, und Behebung oder Incident Response werden bei Bedarf gesondert abgegrenzt. Bewahren Sie die Autorisierungsunterlagen zusammen mit dem Abschlussbericht auf; sie halten die Bedingungen fest, unter denen die Ergebnisse gewonnen wurden, was wichtig ist, wenn die Ergebnisse später besprochen werden.

DDoS Resilience Testing

Zur Seite des Service DDoS Resilience Testing