[[Open棟梁Project>http://opentouryo.osscons.jp/]] - [[マイクロソフト系技術情報 Wiki>http://techinfoofmicrosofttech.osscons.jp/]] -[[戻る>Azure]] * 目次 [#q39e66fa] #contents *概要 [#x4674166] Azure上での負荷テスト、脆弱性診断テストのポイントを纏めた。 *申請 [#e83adaf7] **Microsoft [#b2151fbf] -負荷テストに関しては事前告知不要。 -侵入テストに対しては、事前申請が必要。 Azureは負荷によるIP遮断の様な事はしていない様ですが、~ 攻撃的の監視はしているようなので、脆弱性の検証のみ申請が必要。 *負荷テスト [#fba4d3a9] AzureのSQLデータベースは、共有サービスモデルで提供されるため、~ 過剰なリソース消費をした場合、接続を切断されることがあるようです。~ ※ただし、これは、AzureのSLAにも含まれる対応。 こう言った問題を解決するには、 -インスタンス・サイズを大きくしてスケールアップするか、 -以下の方式でスケールアウトする必要があります。 --Azure SQL Database Federations(2015 年 9 月にサービス終了) --Azure SQL Database Elastic Scale *脆弱性診断テスト [#ef0d3e49] NessusやAppScanは、 >擬似的に攻撃(脆弱性を突くようなリクエスト) を行うため侵入テストに該当します。 以下から申請を行う必要がある。 -Windows Azure トラスト センター セキュリティ~ http://www.windowsazure.com/ja-jp/support/trust-center/security/ 下の blogでは、7日前、と書かれている。 申請の審査に5日程度必要(USで審査のため)とのこと。 -Windows Azureへのペネトレーション テスト (侵入テスト)~ http://satonaoki.wordpress.com/2012/11/19/azure-penetration-test/ 申請フォーマットの中に、「DoS は禁止」と書かれている。~ テストツールで、Dos 攻撃になるリクエスト送出をしない設定にする必要がある。 *その他 [#l2f1a4d5] **対象 [#h02a567b] AppScanについては、ローカルサーバ上にテスト環境があれば、~ そちらに対してテストしてアプリケーションの脆弱性を検証することもできるが、~ IaasではなくPaasを対象とした場合は、Azureでのテストが必要になる。 **方法 [#h7787464] -JMeterなどのOSSは、Webロールへ直接インストールすることはできるが、 -AppScanなどは、ノードロックライセンスであるためWebロールへインストールできない -内部IPと通信できるか?課金されないか?などは別途調査が必要。