Testes de penetração

Fazer testes de penetração das suas aplicações é uma parte importante para as executar no Azure. Não precisas da pré-aprovação da Microsoft para o fazer, mas tens de seguir as regras publicadas. Este artigo resume essas regras e aponta-o para as fontes autorizadas.

A partir de 15 de junho de 2017, a Microsoft não precisa mais de pré-aprovação para realizar um teste de penetração nos recursos do Azure. Este processo aplica-se apenas ao Microsoft Azure e não se aplica a nenhum outro Microsoft Cloud Service.

Importante

A notificação já não é obrigatória, mas os clientes e terceiros autorizados devem cumprir as Regras Unificadas de Engajamento de Testes de Penetração Microsoft Cloud. As regras de engajamento (ROE) são a fonte autorizada; Este artigo é um resumo.

Quem pode testar

Pode realizar testes de penetração nos recursos do Azure que possui. Terceiros (como fornecedores de serviços de segurança geridos, empresas de consultoria e equipas vermelhas) também podem testar, se tiverem autorização explícita por escrito do proprietário do recurso. Documente essa autorização no seu acordo de serviço antes de qualquer teste começar. A Microsoft não concede autorização em nome do cliente.

Se usar o Azure como fonte da atividade de teste (por exemplo, executar ferramentas de pen-test ou red-team a partir de VMs ou Funções do Azure contra sistemas alojados noutro local), o ROE ainda se aplica a si, e o seu uso do Azure continua sujeito aos termos da sua subscrição. O ROE proíbe especificamente o uso dos serviços Microsoft para realizar ataques de phishing ou outros ataques de engenharia social contra terceiros.

Testes permitidos

Pode realizar testes de penetração em aplicações e serviços alojados no Azure sem aprovação prévia. Os exemplos incluem:

  • Os seus endpoints alojados em Máquinas Virtuais do Azure.
  • Aplicações Serviço de Aplicações do Azure (Aplicações Web, API Apps, Mobile Apps).
  • Funções do Azure e pontos finais da API.
  • Serviço de Aplicações do Azure.
  • Quaisquer outros serviços do Azure onde possuis ou tens autorização explícita para testar os recursos implementados.

Os testes padrão que você pode realizar incluem:

Esta lista é ilustrativa, não exaustiva. As Regras de Engajamento são a fonte autorizada sobre o que é permitido.

O ROE também incentiva explicitamente atividades como a criação de contas de teste ou inquilinos de teste para cenários de teste entre contas ou entre inquilinos, gerar tráfego para testar a capacidade de surto dentro das suas próprias aplicações, testar os sistemas de monitorização e deteção de segurança do seu inquilino, avaliar políticas de Acesso Condicional ou gestão de aplicações móveis Intune (MAM), tentar sair de contentores de serviços partilhados como o Serviço de Aplicações do Azure ou Funções do Azure (com divulgação responsável e cessação imediata em caso de sucesso), e tentar ultrapassar os limites dos sistemas de IA.

Atividades da equipa vermelha

As intervenções de red-team contra os seus próprios recursos no Azure (ou os de um cliente, com autorização explícita por escrito) são regidas pelas mesmas ROE. Dentro do âmbito autorizado, o ROE não enumera quais as técnicas do adversário que são permitidas, pelo que o texto determinante é a lista de atividades proibidas. Preste especial atenção a estas restrições, que afetam diretamente a técnica das equipas vermelhas:

  • Não pode usar, aceder ou recuperar credenciais ou outros segredos que não sejam seus – incluindo credenciais divulgadas publicamente. No seu próprio ambiente, atacar contas que possui é aceitável; Reutilizar credenciais de terceiros não é.
  • Se descobrir uma vulnerabilidade nos serviços online da Microsoft durante um teste, deve parar e reportá-la através do Centro de Resposta de Segurança da Microsoft (MSRC). É proibido realizar ações após a exploração contra ativos da Microsoft, incluindo a enumeração de redes internas, a extração de segredos, a execução de código adicional, o movimento lateral ou prosseguir para além da prova de conceito inicial.
  • O teste DDoS é proibido em todas as circunstâncias. Utilize os parceiros de simulação DDoS listados abaixo.
  • Fuzzing intensivo em rede ou testes automatizados que geram tráfego excessivo não são permitidos.

Para exercícios de red teaming específicos de IA para cargas de trabalho do Azure AI (incluindo implementações do Azure OpenAI e do Microsoft Foundry), veja Planeamento de red teaming para grandes modelos de linguagem (LLMs) e as suas aplicações e a série de formação da equipa de red team de IA da Microsoft.

Testes proibidos

As seguintes atividades não são permitidas, independentemente da autorização. Esta lista é ilustrativa. O ROE é a fonte de referência.

  • Testes de Negação de Serviço (DoS) de qualquer tipo, incluindo testes que determinem, demonstram ou simulam DoS. Os ataques DDoS são estritamente proibidos em todas as circunstâncias.
  • Aceder, analisar ou testar locatários, sistemas, registos, dados ou contas de armazenamento do Azure que não lhe pertencem ou para os quais não tem autorização explícita para efetuar testes.
  • Usar, aceder ou recuperar credenciais ou outros segredos que não são teus.
  • Fuzzing com utilização intensiva da rede ou testes automatizados que geram tráfego excessivo.
  • Ataques de phishing ou engenharia social direcionados a funcionários da Microsoft, ou a utilização dos serviços Microsoft (incluindo o Azure) para realizar phishing ou engenharia social contra outros.
  • Ações pós-comprometimento ou pós-exploração contra os serviços online da Microsoft, para além da prova de conceito inicial, como enumerar redes internas, extrair segredos, executar código adicional, movimentação lateral ou estabelecer pontos de apoio.

Testes de simulação DDoS

Se precisar de testar a sua resiliência DDoS, pode usar parceiros de simulação aprovados pela Microsoft. Estes parceiros fornecem serviços controlados de simulação DDoS que não violam as regras de testes de penetração:

  • MazeBolt: A plataforma RADAR™ identifica continuamente e ajuda a eliminar vulnerabilidades DDoS de forma proativa e sem qualquer perturbação nas operações empresariais.
  • Botão vermelho: trabalhe com uma equipe dedicada de especialistas para simular cenários de ataque DDoS do mundo real em um ambiente controlado.
  • RedWolf: Um prestador de serviços de teste para DDoS autónomo ou com assistência guiada, com controlo em tempo real.

Para saber mais sobre estes parceiros de simulação, consulte Teste com parceiros de simulação.

Se os seus testes estiverem assinalados

O Azure executa deteção automática de abusos no tráfego de saída e de entrada. Testes legítimos são ocasionalmente sinalizados, e o ROE indica que a Microsoft pode, a seu critério, interromper a atividade em curso independentemente de ser ou não um teste válido. Se receber uma notificação de abuso relativa a uma atividade que cumpra as ROE, responda à notificação com a autorização do cliente e uma descrição da atividade abrangida. Mantenha os documentos de autorização disponíveis para encurtar significativamente este processo.

Próximos passos

  • Last updated on