※本記事は一次情報をもとにAI支援によって構成・作成し、事実関係の照合を行っています。
発表内容（事実）
Amazon Web Services（AWS）は、クラウドインフラストラクチャにおけるセキュリティ評価やペネトレーションテストに関するカスタマーサポートポリシーを公開しています。顧客は、許可されたサービスに対して事前の承認なしにセキュリティ評価を実行できる一方、Command and Control（C2）を含むすべてのセキュリティテストには事前の承認が必要とされています。
また、AWSインフラストラクチャやAWSサービス自体のセキュリティ評価を実施することは許可されておらず、セキュリティ評価中に観察されたサービスでセキュリティ上の問題を発見した場合は、速やかにAWSセキュリティへ連絡することが求められています。
この記事のポイント
- Amazon EC2やWAF、Amazon RDS、Amazon CloudFrontなどのサービスは、事前の承認なしにペネトレーションテストを実施できます。
- Command and Control（C2）、レッド/ブルー/パープルチームテスト、ネットワークストレステスト、DDoSシミュレーションなどは、模擬イベントフォームの提出による審査と事前承認が必要です。
- DNSゾーンウォーキングやサービス拒否（DoS/DDoS）、ポートフラッディング、S3バケットの乗っ取りなどは禁止されています。
- アウトバウンドペネトレーションテストが禁止されているサービスとして、Amazon API GatewayやAmazon Bedrock AgentCoreが挙げられています。
- テスト中に発見された脆弱性や問題は、テスト完了から24時間以内にAWS Securityへ報告する必要があります。
考察（筆者の見解）
事実として、AWSではセキュリティテストに関して明確に「許可されるサービス」と「禁止される行為」が切り分けられており、負荷テストやレッドチーム演習などの特殊なテストには厳格な事前申請プロセス（遅くとも開始日の2週間前までのフォーム送信など）が設けられています。推測として、クラウド環境の可用性を損なうリスクのあるDoS攻撃や、予期せぬ影響を及ぼすアウトバウンドテストを一律で厳しく制限することで、AWS基盤全体の信頼性を維持していると考えられます。筆者は、クラウドを利用したシステム開発やセキュリティ評価を行う際、事前に本ポリシーを熟読し、許可範囲と申請要件を厳守することがインシデント防止およびコンプライアンス遵守の観点から極めて重要であると考えます。
コメント