Muss ich den Cloud-Anbieter informieren, wenn wir einen Cloud-Pentest durchführen?
Do I have to inform the Cloud provider if we perform a Cloud pentest?
AWS, Azure und GCP haben inzwischen die Anforderung abgeschafft, sie über Pentests von Ressourcen in ihrer Infrastruktur zu informieren. Jeder Anbieter hat eine Reihe von Regeln dafür aufgestellt, welche Dienste und welche Aktionen erlaubt sind, ohne dass sie darüber informiert werden müssen. Generell kann man sagen, dass es dem "Modell der geteilten Verantwortung" ähnlich ist. Das bedeutet, dass Pentests auf Ressourcen, die Sie selbst verwalten, erlaubt sind. Auf der anderen Seite erlaubt kein Provider das Testen von Distributed Denial of Service (DDoS) Angriffen oder das Angreifen anderer Kunden. SEC Consult kann Sie dabei unterstützen, die spezifischen Bedingungen zu verstehen, um festzustellen, ob es in Ihrem speziellen Fall notwendig ist, den Cloud-Anbieter zu informieren.
By now AWS, Azure and GCP have dropped the requirement to inform them about pentests on resources in their infrastructure. Each provider has defined a set of rules in regards to which services as well as which actions are allowed without telling them. In general, it can be summarized that it is similar to the “shared responsibility model”. This means pentests on resources you are managing yourself are allowed. On the other hand, no provider allows testing Distributed Denial of Service (DDoS) attacks or attacking other customers. SEC Consult can support you to understand the specific terms and conditions as to whether it is necessary to inform the Cloud provider in your specific case.