Test di penetrazione

Il test di penetrazione delle applicazioni è una parte importante dell'esecuzione in Azure. Non hai bisogno della previa approvazione di Microsoft per farlo, ma devi seguire le regole pubblicate. Questo articolo riepiloga tali regole e punta alle fonti autorevoli.

A partire dal 15 giugno 2017, Microsoft non richiede più la pre-approvazione per eseguire un test di penetrazione sulle risorse di Azure. Questo processo si applica solo a Microsoft Azure e non ad altri Microsoft Cloud Service.

Importante

La notifica non è più necessaria, ma i clienti e le terze parti autorizzate devono essere conformi alle regole di Microsoft Cloud Unified Penetration Testing Rules of Engagement. Le regole di coinvolgimento (ROE) sono l'origine autorevole; questo articolo è un riepilogo.

Chi può testare

È possibile eseguire test di penetrazione su Azure risorse di cui si è proprietari. Anche terze parti (come fornitori di servizi di sicurezza gestiti, società di consulenza e red teams) possono testare, se hanno un'autorizzazione scritta esplicita dal proprietario della risorsa. Documentare l'autorizzazione nel contratto di servizio prima dell'inizio di qualsiasi test. Microsoft non concede l'autorizzazione per conto del cliente.

Se usi Azure come fonte dell'attività di test (ad esempio, eseguendo pen-test o red-team tooling da VM o funzioni Azure contro sistemi ospitati altrove), il ROE si applica comunque a te e il tuo utilizzo di Azure rimane soggetto ai termini dell'abbonamento. Il ROE vieta specificamente l'uso dei servizi servizi Microsoft per eseguire phishing o altri attacchi di social engineering contro altri.

Test consentiti

È possibile eseguire test di penetrazione su applicazioni e servizi ospitati Azure senza l'approvazione precedente. Ecco alcuni esempi:

  • I tuoi endpoint ospitati su Macchine virtuali di Azure.
  • Servizio app di Azure applicazioni (App Web, API Apps, Mobile Apps).
  • Funzioni di Azure e gli endpoint API.
  • Servizio app di Azure.
  • Qualsiasi altro servizio Azure in cui possiedi o hai un'autorizzazione esplicita per testare le risorse distribuite.

I test standard che è possibile eseguire includono:

Questo elenco è illustrativo, non esaustivo. Le Regole di Ingaggio sono la fonte autorevole di ciò che è consentito.

Il ROE incoraggia inoltre esplicitamente attività quali la creazione di account di test o tenant di prova per scenari di test cross-account o cross-tenant, la generazione di traffico per testare la capacità di gestire picchi di carico nelle proprie applicazioni, la verifica dei sistemi di monitoraggio e rilevamento della sicurezza del proprio tenant, la valutazione dei criteri di Accesso Condizionale o delle policy di gestione delle applicazioni mobili (MAM) di Intune, il tentativo di evadere dai contenitori di servizi condivisi come Servizio app di Azure o Funzioni di Azure (con divulgazione responsabile e interruzione immediata in caso di successo) e il tentativo di superare i limiti dei sistemi di IA.

Attività del team rosso

Le attività di red teaming contro le proprie risorse Azure (o contro quelle di un cliente, con esplicita autorizzazione scritta) sono disciplinate dalle stesse ROE. Nell'ambito autorizzato, il ROE non specifica quali tecniche dell'avversario siano consentite, quindi il testo di riferimento è l'elenco delle attività vietate. Prestare particolare attenzione a questi vincoli, che influiscono direttamente sulle procedure operative del red team:

  • Non puoi usare, accedere o recuperare credenziali o altri segreti che non sono tuoi - inclusi i dati trapepati pubblicamente. Nel tuo ambiente, attaccare gli account che possiedi va bene; Riutilizzare credenziali di terze parti non lo è.
  • Se durante un test si individua una vulnerabilità nei servizi online di Microsoft, è necessario interrompere il test e segnalarla tramite Microsoft Security Response Center (MSRC). Sono vietate le azioni successive all'exploit nei confronti delle risorse Microsoft, tra cui l'enumerazione delle reti interne, l'estrazione di segreti, l'esecuzione di codice aggiuntivo, il movimento laterale o il pivoting oltre la prova di concetto iniziale.
  • I test DDoS sono vietati in tutte le circostanze. Usare invece i partner di simulazione DDoS elencati di seguito.
  • I test automatizzati o fuzzing a elevato utilizzo di rete che generano traffico eccessivo non sono consentiti.

Per attività di red teaming specifiche per l'IA rivolte ai carichi di lavoro di Azure AI (comprese le distribuzioni di Azure OpenAI e Microsoft Foundry), consultare Pianificazione del red teaming per i modelli linguistici di grandi dimensioni (LLM) e le relative applicazioni e la serie di corsi di formazione sul red teaming per l'IA di Microsoft.

Test non consentiti

Le attività seguenti non sono consentite indipendentemente dall'autorizzazione. Questa lista è illustrativa. Il ROE è la fonte autorevole.

  • Test di Denial of Service (DoS) di qualsiasi tipo, inclusi i test che identificano, dimostrano o simulano un DoS. Gli attacchi DDoS sono rigorosamente vietati in tutte le circostanze.
  • Accedere, eseguire scansioni o testare tenant, sistemi, registri, dati o account di archiviazione di Azure di cui non si è proprietari o per i quali non si dispone di un'autorizzazione esplicita a effettuare test.
  • Uso, accesso o recupero di credenziali o altri segreti non personalizzati.
  • Fuzzing o test automatizzati che richiedono un uso intensivo della rete e generano un traffico eccessivo.
  • Attacchi di phishing o di ingegneria sociale rivolti ai dipendenti Microsoft, oppure uso dei servizi Microsoft (incluso Azure) per effettuare attacchi di phishing o di ingegneria sociale contro altri.
  • Azioni successive alla compromissione o all'exploit nei confronti dei servizi online di Microsoft che vanno oltre la prova di concetto iniziale, ad esempio l'enumerazione delle reti interne, l'estrazione di segreti, l'esecuzione di codice aggiuntivo, il movimento laterale o il pivoting.

Test di simulazione DDoS

Se è necessario testare la resilienza DDoS, è possibile usare partner di simulazione approvati da Microsoft. Questi partner forniscono servizi di simulazione DDoS controllati che non violano le regole di test di penetrazione:

  • MazeBolt: La piattaforma RADAR™ identifica continuamente e aiuta a eliminare le vulnerabilità DDoS in modo proattivo e senza alcuna interruzione delle operazioni aziendali.
  • Red Button: collaborare con un team dedicato di esperti dove si può simulare scenari di attacco DDoS reali in un ambiente controllato.
  • RedWolf: provider di test DDoS self-service o guidato con controllo in tempo reale.

Per saperne di più su questi partner di simulazione, vedi test con partner di simulazione.

Se l'attività di test viene segnalata

Azure esegue il rilevamento automatizzato degli abusi sul traffico in uscita e in ingresso. Il test legittimo viene occasionalmente segnalato, e il ROE indica che Microsoft potrebbe, a sua discrezione, interrompere attività in corso indipendentemente dal fatto che il test sia valido o meno. Se ricevete una notifica di abuso per un'attività conforme alle ROE, rispondete alla notifica con l'autorizzazione del cliente e una descrizione dell'attività che rientra nell'ambito consentito. Tieni a portata di mano i documenti di autorizzazione per ridurre significativamente questo processo.

Passaggi successivi

  • Last updated on