侵入テスト

アプリケーションの侵入テストは、アプリケーションをAzureで実行する上で重要な部分です。 これを行うためにMicrosoftの事前承認は必要ありませんが、公開されたルールに従う必要があります。 この記事では、これらのルールを要約し、権限のあるソースを示します。

2017 年 6 月 15 日時点で、Microsoft は Azure リソースに対する侵入テストを実施する際に事前承認を求めなくなりました。 このプロセスはMicrosoft Azureにのみ適用され、他のMicrosoft Cloud Serviceには適用されません。

Von Bedeutung

通知は不要になりましたが、顧客および承認されたサード パーティは、Microsoft Cloud統合侵入テストの契約規則に準拠する必要があります。 エンゲージメントルール(ROE)は信頼できる情報源です。この記事は概要です。

テストできる人

所有しているAzureリソースに対して侵入テストを実行できます。 第三者(マネージドセキュリティサービスプロバイダー、コンサルティング会社、レッドチームなど)も、リソース所有者からの明確な書面による承認があればテストできます。 テストを開始する前に、サービス契約でその承認を文書化します。 Microsoftは、顧客に代わって承認を付与しません。

もしAzureをテスト活動のソースとして使う場合(例えば、Azure VMやFunctionsから他所でホストされたシステムに対してペンテストやレッドチームツールを実行するなど)、ROEは依然として適用され、Azureの使用はサブスクリプション条件の対象となります。 ROEは、Microsoft サービスを他者に対してフィッシングやその他のソーシャルエンジニアリング攻撃を行うことを明確に禁止しています。

許可されたテスト

事前の承認なしに、Azureホストされているアプリケーションとサービスに対して侵入テストを実行できます。 その例は次のとおりです。

  • あなたのエンドポイントはAzure 仮想マシン上でホストされています。
  • Azure App Service applications (Web Apps、API Apps、Mobile Apps)。
  • Azure Functions と API エンドポイント。
  • Azure App Service。
  • デプロイされたリソースのテストについて、あなたが所有しているか、または明示的な許可を得ているその他の Azure サービス。

実行できる標準テストは、次のとおりです。

このリストは例示であり、網羅的ではありません。 交戦規則は許可されていることの権威ある情報源です。

ROEはまた、クロスアカウントやクロステナントのテストシナリオのためのテストアカウントやトライアルテナントの作成、自社アプリケーション内のサージ容量テストのためのトラフィック生成、テナントのセキュリティ監視・検出システムのテスト、条件付きアクセスやIntuneのモバイルアプリケーション管理(MAM)ポリシーの評価、Azure App Serviceのような共有サービスコンテナからの脱出を試みるなどの活動を明確に推奨していますまたはAzure Functions(成功後は責任ある開示と即時停止)など、AIシステムの境界を突破しようとする試みなどです。

レッド チームのアクティビティ

お客様自身のAzureリソース (または明示的な書面による承認を持つ顧客) に対するレッド チームのエンゲージメントは、同じROEによって管理されます。 承認されたスコープ内では、ROE はどの敵対者の手法が許可されているかを列挙しないため、制御テキストは禁止アクティビティリストです。 レッドチームのトレードクラフトに直接影響を与えるこれらの制約に特に注意してください。

  • 自分のものでない認証情報やその他の秘密情報、つまり公にリークされた認証情報も含めて、使用、アクセス、取得することはできません。 自分の環境内で、所有するアカウントを攻撃するのは問題ありません。サードパーティの認証情報を再利用することは問題ありません。
  • テスト中にMicrosoftのオンライン サービスに脆弱性が見つかった場合は、Microsoft Security Response Center (MSRC) を通じてそれを停止して報告する必要があります。 Microsoftの資産に対するエクスプロイト後の行動は禁止されており、内部ネットワークの列挙、秘密のダンプ、さらなるコード実行、横移動、初期の概念実証を超えた方向転換などが含まれます。
  • DDoS テストは、すべての状況で禁止されています。 代わりに、以下に示す DDoS シミュレーション パートナーを使用してください。
  • 過剰なトラフィックを生成するネットワーク集中型のファジーまたは自動テストは許可されません。

Azure AI ワークロード (Azure OpenAI と Microsoft Foundry のデプロイを含む) に対する AI 固有のレッド チーミングについては、大規模言語モデル (LLM) とそのアプリケーションおよび Microsoft AI レッド チーム トレーニング シリーズを参照してください。

禁止されたテスト

承認に関係なく、次のアクティビティは許可されません。 このリストは一例です。 ROEが権威ある情報源です。

  • DoS を決定、デモンストレーション、またはシミュレートするテストを含め、あらゆる種類のサービス拒否 (DoS) テスト。 DDoS 攻撃は、あらゆる状況で厳しく禁止されています。
  • 所有していない、またはテストする明示的な許可を得ていない Azure のテナント、システム、ログ、データ、またはストレージ アカウントにアクセスしたり、スキャンしたり、テストしたりすること。
  • 独自ではない資格情報またはその他のシークレットを使用、アクセス、または取得する。
  • 過剰なトラフィックを生成するネットワーク集中型のファジーまたは自動テスト。
  • Microsoft従業員を対象とするフィッシング攻撃またはソーシャル エンジニアリング攻撃、またはMicrosoft サービス (Azureを含む) を使用して他のユーザーに対してフィッシングやソーシャル エンジニアリングを実行する攻撃。
  • 初期の概念実証を超えて Microsoft のオンライン サービスに対して行われる侵害後またはエクスプロイト後のアクション。たとえば、内部ネットワークの列挙、シークレットのダンプ、追加のコード実行、ラテラル ムーブメント、またはピボット。

DDoS シミュレーション テスト

DDoS の回復性をテストする必要がある場合は、Microsoft が承認したシミュレーション パートナーを使用できます。 これらのパートナーは、侵入テスト規則に違反しない制御された DDoS シミュレーション サービスを提供します。

  • MazeBolt:RADAR™プラットフォームは、DDoS脆弱性を継続的に識別し、ビジネス運営に全く影響を与えずに、事前に排除します。
  • Red Button: エキスパートから成る専任チームと連携し、管理された環境下で現実世界の DDoS 攻撃のシナリオをシミュレーションします。
  • RedWolf: リアルタイム制御を備えたセルフサービスまたはガイド付き DDoS テスト プロバイダー。

これらのシミュレーションパートナーについて詳しく知りたい方は、「 テスト・ウィズ・シミュレーション・パートナー」をご覧ください。

テストにフラグが設定されている場合

Azureは、送信トラフィックと受信トラフィックで自動不正使用検出を実行します。 正当なテストは時折指摘され、ROEはMicrosoftが有効なテストかどうかにかかわらず、進行中の活動を裁量で中断する可能性があると指摘しています。 ROEに準拠した活動に対する不正使用通知を受け取った場合は、お客様の承認と範囲内の活動の説明を含む通知に応答してください。 承認書類を常に入手可能にしておき、この手続きを大幅に短縮しましょう。

次のステップ

  • Last updated on