DDoS korumamı test etmek yasal mı?

Yalnızca size ait olan ya da yazılı, belirli ve güncel izniniz olan altyapıyı test ederseniz evet. Hosting ve koruma sağlayıcınızı önceden bilgilendirin, kendi ağ sınırınızda kalın ve asla bir stresser/booter servisi kullanmayın — ona ödeme yapmak çoğu ülkede saldırının kendisiyle aynı suçtur.

DDoS testi için stresser servisi kullanabilir miyim?

Hayır. Bir booter/stresser servisine ödeme yapmak çoğu yargı alanında birine onunla saldırmakla aynı suçtur ve müşterilerinize saldıran altyapıyı finanse eder. Meşru yük testi için kendi kontrolünüzdeki araçları kullanın ve yalnızca kendi sistemlerinize karşı çalıştırın.

DDoS testinde neyi ölçmeliyim?

Saniyedeki maksimum istek sayısı neredeyse işe yaramaz. Tespit süresini, mitigasyona geçiş süresini, olay sırasında origin hata oranını, gerçek kullanıcı yolculuklarının tamamlanıp tamamlanmadığını ve ilk çalan uyarıyı kaydedin — gerçek bir olayda ihtiyaç duyacağınız sayılar bunlardır.

DDoS korumamı test ederken neyi test etmeliyim?

Ham hacmi değil, uç davranış değiştirince neyin bozulduğunu: ödeme bildirimi sınama ekranını atlatıyor mu, mobil uygulama 429'u kaldırıyor mu, sağlık kontrolü sınırlanıyor mu, izleme müşteriden önce uyarıyor mu. Ayrıca entegrasyon dayanıklılığını ve yük kapandıktan sonra toparlanmayı test edin.

DDoS Korumanızı Yasayı (ve Sitenizi) Bozmadan Nasıl Test Edersiniz?

Hiç denemediğiniz bir savunmaya güvenemezsiniz. Kendi altyapınızı yük testine tabi tutmanın pratik rehberi: neyi test etmeli, neyin sınır dışı olduğu ve işe yarar bir testin gerçekte neyi ölçtüğü.

Hiç test edilmemiş koruma bir denetim değil, bir inançtır. Ama DDoS savunmalarını test etmek, gerçek hukuki sonuçlar taşıyan bir sınıra yakın durur ve profesyonel bir tatbikat ile bir suç arasındaki fark çoğunlukla evrak ve kapsamdır.

Kurallar

Yalnızca size ait olan ya da test için yazılı izniniz olan altyapıyı test edin. Yazılı, belirli ve güncel — sözlü bir anlaşma savunma değildir.
Hosting ve koruma sağlayıcınızı önceden bilgilendirin. Habersiz yük tam olarak bir saldırı gibi görünür, çünkü öyledir.
Asla bir stresser ya da booter servisi kullanmayın. Böyle bir servise ödeme yapmak çoğu ülkede birine onunla saldırmakla aynı suçtur ve ayrıca müşterilerinize saldıran ekosistemi finanse edersiniz.
Kendi ağ sınırınızın içinde kalın. Üçüncü taraf bir ağdan geçen test, etkilemeye yetkiniz olmayan sistemleri içerir.

Kapsam belgesi

Neyi, nereden, hangi yoğunlukta, hangi zaman aralığında test edeceğinizi ve kimin durdurabileceğini yazın. Bir şey ters giderse, o sayfa bir olay incelemesi ile bir soruşturma arasındaki farktır.

Test Etmeye Değen Şeyler

İlginç arızalar nadiren ham hacimle ilgilidir. Uç davranış değiştirdiğinde neyin bozulduğuyla ilgilidir: ödeme sağlayıcısının bildirim çağrısı bir sınama ekranını atlatabiliyor mu, mobil uygulama bir 429'u kaldırabiliyor mu, sağlık kontrolü hız sınırına takılıyor mu, izleme sistemi bir müşteriden önce uyarı veriyor mu.

Uygulama yükü: pahalı uçlara gerçekçi istek karışımları, bir şey bozulana dek artırarak. Amaç dizi noktasını bulmak, makineyi kırmak değil.
Sınama davranışı: sakin bir saatte uçu en sıkı moduna alın ve siteyi bir müşteri gibi kullanın — telefonda, yavaş bir bağlantıda.
Entegrasyon dayanıklılığı: koruma etkinken API istemcilerinizi, webhook'larınızı ve üçüncü taraf çağrılarını çalıştırın.
Toparlanma: yükü kapattıktan sonra her şey ne kadar hızlı normale dönüyor?

Doğru Şeyleri Ölçün

Bir saniyedeki maksimum istek sayısını raporlayan bir test size neredeyse hiçbir işe yarar şey söylemez. Tespit süresini, mitigasyona geçiş süresini, olay sırasında origin'deki hata oranını, gerçek kullanıcı yolculuklarının tamamlanıp tamamlanmadığını ve ilk hangi uyarının çaldığını kaydedin. Gerçek bir olayda keşke elimde olsaydı diyeceğiniz sayılar bunlardır.

Sonrasında

Sonuçları, sizi şaşırtan şeyler dahil, aynı gün yazın. Hiçbir şey bulmayan bir test ya olağandışı sağlıklı bir sistemdir ya da çok daha sık olarak, bilgilendirici olamayacak kadar nazik bir testtir.