DDoS-Schutz für Azure Netzwerke

Azure bietet mehrere DDoS-Schutzebenen, um Ihre Workloads vor verteilten Denial-of-Service-Angriffen (DDoS) zu schützen. In diesem Artikel werden Infrastrukturschutz, DDoS-Netzwerkschutz und DDoS-IP-Schutz verglichen, damit Sie die richtige Ebene auswählen können. DDoS Protection ist einer von drei zentralen Azure-Netzwerksicherheitsdiensten, neben Azure Firewall und Azure Web Application Firewall (WAF).

Inhalt dieses Artikels

Azure bietet mehrere DDoS-Schutzebenen, die öffentliche IP-Adressen vor Volumetric-, Protokoll- und Anwendungsschichtangriffen schützen. Alle Azure Kunden erhalten automatisch Schutz auf Infrastrukturebene. Organisationen mit strengeren Verfügbarkeitsanforderungen können erweiterte Schutzpläne aktivieren. Diese Pläne bieten adaptive Optimierungs-, Angriffsanalysen und Kostenschutzgarantien.

Wer diesen Artikel benötigt

Lesen Sie diesen Artikel, wenn Sie:

  • Stellen Sie eine beliebige Ressource mit einer öffentlichen IP-Adresse in Azure bereit.
  • Benötigen Sie SLA-gesicherten Schutz für in das Internet gerichtete Workloads.
  • Erfordern von Angriffstelemetrie, Unterstützung für schnelle Reaktion oder Kostenerstattung bei DDoS-Ereignissen.
  • Führen Sie Dienste hinter Azure Firewall, Anwendungsgateway oder Azure Load Balancer mit öffentlichen Endpunkten aus.
  • Möchten Sie verstehen, wann die inkludierte Stufe ausreicht und wann sich eine Investition in erweiterten Schutz lohnt.

Heben und Verschieben des Fokus: Die meisten neu gehosteten Workloads machen nur wenige öffentliche IPs verfügbar. Verlassen Sie sich während der Migration auf den immer-eingeschalteten Schutz und fügen Sie DDoS-Netzwerkschutz nur in virtuellen Netzwerken mit internetbezogenen Endpunkten hinzu.

Modernisieren Sie den Fokus: Kundenorientierte, multiregionale Apps rechtfertigen den DDoS-Netzwerkschutz in den virtuellen Netzwerken, die Ihre öffentlichen IPs speichern, einschließlich derjenigen, die Azure Front Door, Application Gateway und Load Balancer betreiben.

Cloudübergreifender Fokus: Schützen Sie die Azure-Eingangspunkte, die cloudübergreifenden und verzweigten Datenverkehr beenden. Wenden Sie den DDoS-Schutz auf die öffentlichen IPs auf Ihrem Virtual WAN Hub und in Internet zugänglichen Gateways an.

Azure Dienste und Features

In der folgenden Tabelle werden die drei in Azure verfügbaren DDoS-Schutzoptionen verglichen.

Schutzebene Cost Geltungsbereich Wichtige Funktionen Am besten geeignet für:
Azure DDoS-Infrastrukturschutz Kostenlos (automatisch) Alle öffentlichen Azure-IP-Adressen Kontinuierliche Überwachung, Abwehr von volumetrischen L3/L4-Angriffen in Echtzeit, derselbe Schutz, der auch Microsofts eigene Dienste schützt Alle Azure Kunden. Es ist keine Konfiguration erforderlich. Schützt vor allgemeinen Netzwerkebenenangriffen.
DDoS-Netzwerkschutz Pro Plan (umfasst bis zu 100 öffentliche IPs pro Mandant) Mieterweit: Ein Plan deckt verbundene virtuelle Netzwerke über Abonnements hinweg ab Adaptive Abstimmung pro öffentlicher IP-Adresse, Angriffsanalysen und Berichte, Zugang zum DDoS Rapid Response (DRR)-Team, Kostenschutz, Verfügbarkeits-SLA, Application Gateway WAF-Rabatt Produktionsworkloads, die SLA-Garantien, Angriffsforensik und finanziellen Schutz vor Skalierungskosten erfordern.
DDoS IP-Schutz Per-IP Einzelne öffentliche IPs Dasselbe Kern-Entschärfungsmodul wie Netzwerkschutz, adaptive Optimierung, Angriffsanalyse Kleinere Bereitstellungen oder einzelne IPs, bei denen ein vollständiger Plan nicht kostenwirksam ist. Umfasst nicht DDoS Rapid Response, Kostenschutz, WAF-Rabatt oder Public IP Basic-Schutz.

Was jede Ebene schützt

Diagramm mit den drei DDoS-Schutzebenen und deren Zuordnung zu Azure Ressourcen.

Azure DDoS-Infrastrukturschutz mindert Angriffe am Azure Netzwerk-Edge, bevor sie Ihre Ressourcen erreichen. Dieser Schutz verwendet dieselbe Always-On-Erkennungs- und Entschärfungsinfrastruktur, die Microsoft 365, Xbox und andere Microsoft Onlinedienste schützt. Der Infrastrukturschutz behandelt allgemeine volumetrische Angriffe wie UDP-Überschwemmungen und ICMP-Verstärker. Sie funktioniert transparent: keine Konfiguration, keine Registrierung und keine zusätzlichen Kosten.

DDoS-Netzwerkschutz und DDoS-IP-Schutz bieten auf der Infrastrukturebene zusätzlich intelligentes Profiling pro IP-Adresse. Diese Ebenen lernen die normalen Datenverkehrsmuster Ihrer Anwendung im Laufe der Zeit (in der Regel innerhalb von sieben bis 14 Tagen) kennen und optimieren automatisch drei Entschärfungsrichtlinien für jede geschützte öffentliche IP-Adresse:

  • TCP SYN-Richtlinie: Schützt vor SYN-Überschwemmungsangriffen, indem der Verbindungsstatus nachverfolgt und ungültige Handshakeversuche gelöscht werden.
  • TCP-Richtlinie: Erkennt und entschärft anomale TCP-Datenverkehrsmuster, einschließlich ACK-Überschwemmungen und Verbindungsausschöpfung.
  • UDP-Richtlinie: Identifiziert und filtert volumetrische UDP-Überschwemmungen, während legitimer Anwendungsdatenverkehr zulässig ist.

Die adaptive Abstimmung stellt sicher, dass die Schwellenwerte zur Risikominderung auf Ihr spezifisches Verkehrsprofil abgestimmt sind, anstatt allgemeine Grenzwerte anzuwenden. Dieser Ansatz minimiert False Positives bei Datenverkehrsspitzen aus legitimen Quellen wie Marketingkampagnen oder saisonalen Hochphasen.

Wie man auswählt

Verwenden Sie die folgenden Entscheidungsanleitungen, um die richtige DDoS-Schutzebene für Ihre Workload auszuwählen.

Zeitpunkt für ein Upgrade vom Infrastrukturschutz

Azure DDoS-Infrastrukturschutz ist immer aktiv und bietet aussagekräftigen Schutz vor gängigen volumetrischen Angriffen. Bewerten Sie jedoch ein Upgrade auf Netzwerkschutz oder IP-Schutz, wenn Ihre Workload einem der folgenden Kriterien entspricht:

  • Verfügbarkeits-SLA-Anforderungen: Ihr Unternehmen erfordert eine Verfügbarkeitsgarantie von 99,99% für öffentlich zugängliche Dienste. Der Infrastrukturschutz hat keine SLA für Kunden.
  • Compliance-Mandate: Regulatorische Frameworks erfordern dokumentierten DDoS-Schutz mit Angriffsberichterstattungs- und Vorfallreaktionsfunktionen.
  • Hochwertige Workloads: Dienstleistungen zur Umsatzgenerierung, bei denen ein anhaltender Angriff erhebliche finanzielle Auswirkungen verursachen könnte. Gutschriften zum Kostenschutz gleichen die Kosten für die Hochskalierung bei Angriffen aus.
  • Mehrere öffentliche Endpunkte: Umgebungen mit Lastenausgleichsmodulen, Firewalls und Anwendungsgateways, die mehrere Angriffsflächen darstellen.
  • Betriebsreife: Sicherheitsteams, die Angriffsanalysen nutzen, Warnungen konfigurieren und das DDoS Rapid Response-Team während Vorfällen einbinden können.

Entscheidungstabelle

Scenario Empfohlene Stufe Begründung
Entwicklungs-/Testumgebung mit öffentlichen IPs Infrastrukturschutz (kostenlos) Automatischer Schutz ohne Kosten. Ausreichend für Nichtproduktionsworkloads ohne SLA-Anforderungen.
Einzelne Produktions-App mit wenigen öffentlichen IPs DDoS-IP-Schutz Per-IP Preise sind für kleine Bereitstellungen kostengünstig. Bietet adaptive Optimierungs- und Angriffsanalysen, ohne dass ein vollständiger Plan erforderlich ist.
Unternehmen mit mehr als 10 öffentlichen IPs über Abonnements hinweg DDoS-Netzwerkschutz Ein Plan pro Mandant deckt bis zu 100 öffentliche IPs ab. Umfasst Kostenschutz, DDoS Rapid Response, WAF-Rabatt und eine Verfügbarkeits-SLA.
Regulierte Workloads, die Angriffsforensik erfordern DDoS-Netzwerkschutz Protokolle zum Angriffsablauf, die Integration von Warnmeldungen und der Zugriff auf das DDoS Rapid Response-Team unterstützen Compliance- und Anforderungen an die Reaktion auf Sicherheitsvorfälle.

Kostenmodell

DDoS Network Protection verwendet eine feste monatliche Gebühr, die bis zu 100 öffentliche IP-Adressen in allen verbundenen virtuellen Netzwerken Ihres Microsoft Entra-Tenants abdeckt. Für zusätzliche IP-Adressen über 100 werden monatlich Zusatzgebühren pro IP-Adresse berechnet. Bewerten Sie für Organisationen mit weniger als 15 bis 20 öffentlichen IPs, ob DDoS IP Protection eine bessere Kosteneffizienz bietet, indem Sie die Plankosten mit der Alternative pro IP vergleichen.

Important

Ein DDoS-Schutzplan pro Mieter deckt alle verbundenen virtuellen Netzwerke über Abonnements hinweg ab. Sie benötigen nicht mehrere Pläne für verschiedene Regionen oder Abonnements. Der Plan wird in einer bestimmten Region erstellt, schützt jedoch virtuelle Netzwerke in jeder Region innerhalb des Mieters.

Für DDoS IP Protection werden die Gebühren pro geschützter öffentlicher IP-Adresse und Monat berechnet. Kein Plan erforderlich. Diese Option eignet sich für Organisationen, die einen verbesserten Schutz für eine kleine Anzahl von IPs ohne die Kostenverpflichtung eines vollständigen Plans benötigen. DDoS IP Protection enthält jedoch keinen Zugriff auf das DDoS Rapid Response-Team, keine Kostenschutzgutschriften und keinen WAF-Abrechnungsrabatt für Application Gateway.

Rabatt für Application Gateway WAF

Wenn Sie den DDoS-Netzwerkschutz im virtuellen Netzwerk aktivieren, das ein Anwendungsgateway enthält, bezahlen Sie den Application Gateway Standard v2-Satz für die WAF-Komponente anstelle der höheren WAF-Rate. Dieser Rabatt gilt nicht für DDoS IP Protection.

Überlegungen zum Entwurf

Designschwerpunkt für Lift-and-Shift-DDoS

  • Beginnen Sie mit dem Always-On-DDoS-Infrastrukturschutz, der alle Azure öffentlichen IP-Adressen abdeckt, und legen Sie dann den DDoS-Netzwerkschutz in virtuelle Netzwerke mit über das Internet verfügbar gemachten Workloads auf.
  • Priorisieren Sie die wenigen öffentlichen Endpunkte, die eine per Rehosting migrierte IT-Umgebung normalerweise bereitstellt (z. B. eine einzelne Webschicht oder ein VPN Gateway), anstatt jedes einzelne Subnetz zu priorisieren.
  • Ein Plan pro Mandant deckt alle verknüpften virtuellen Netzwerke über Abonnements und Regionen hinweg ab, sodass Sie keinen separaten Plan pro migrierter Anwendung benötigen.
  • Erfassen Sie Angriffstelemetrie frühzeitig, damit Sie den normalen Datenverkehr als Referenz festlegen können, bevor Sie die Schwellenwerte verschärfen.

Modernisieren des DDoS-Designfokus

  • Aktivieren Sie den DDoS-Netzwerkschutz für die virtuellen Netzwerke, die öffentliche IP-Adressen für kundenorientierte Anwendungen hosten, einschließlich der Netzwerke, die Azure Front Door-Ursprüngen, Application Gateway und öffentlichen Load Balancern zugeordnet sind.
  • Kombinieren Sie DDoS-Schutz mit WAF: Die WAF-Komponente des Anwendungsgateways wird mit dem Standard v2-Satz abgerechnet, wenn DDoS-Netzwerkschutz im virtuellen Netzwerk aktiviert ist.
  • Für aktiv-aktive Multiregion-Designs stellen Sie sicher, dass die öffentlichen IP-Adressen jeder Region abgedeckt sind, da ein Mandantenplan virtuelle Netzwerke in jeder Region schützt.
  • Machen Sie DDoS-Metriken und -Warnungen in Ihrer Betriebsüberwachung sichtbar, damit das Plattformteam Angriffe zusammen mit anderen Netzwerksignalen erkennt.

Cloudübergreifender DDoS-Designfokus

  • Schützen Sie den Eingangspunkt auf Azure-Seite, an dem cloudübergreifender Datenverkehr und Branch-Datenverkehr enden, z. B. die öffentlichen IP-Adressen eines gesicherten Virtual WAN-Hubs und internetseitige Gateways.
  • Vergeben Sie keine direkten öffentlichen IP-Adressen an virtuelle Maschinen; schalten Sie für Workloads stattdessen Application Gateway oder Front Door vor und schützen Sie diese Endpunkte.
  • Erweitern Sie den vorhandenen Mandantenplan auf neue Azure Regionen, die Sie beim Migrieren von Clouds hinzufügen, anstatt separate Pläne zu erstellen.
  • Fügen Sie DDoS-Telemetrie in die cloudübergreifende Überwachung ein, damit Sie Angriffe korrelieren können, die mehrere Cloud-Edges umfassen.

Voraussetzungen

Bevor Sie den erweiterten DDoS-Schutz aktivieren, stellen Sie sicher, dass Sie folgendes haben:

  • Öffentliche IP-Adressen: DDoS-Schutz gilt für Azure öffentlichen IP-Ressourcen. Ressourcen ohne öffentliche IPs werden nicht internetbasierten DDoS-Angriffen ausgesetzt und benötigen keine Abdeckung.
  • Ein virtuelles Netzwerk: Aktivieren Sie den DDoS-Netzwerkschutz auf Ebene des virtuellen Netzwerks. Alle öffentlichen IPs innerhalb eines geschützten virtuellen Netzwerks sind automatisch abgedeckt.
  • Berechtigungen: Die Rolle "Netzwerkmitwirkender" oder eine benutzerdefinierte Rolle mit Microsoft.Network/ddosProtectionPlans Berechtigungen ist erforderlich, um DDoS-Pläne zu erstellen oder zu verwalten.
  • Ein DDoS-Plan pro Mieter (Netzwerkschutz): Erstellen Sie einen einzelnen Plan und verknüpfen Sie ihn mit den virtuellen Netzwerken, die Ihre geschützten öffentlichen IPs enthalten. Man kann virtuelle Netzwerke von mehreren Abonnements mit demselben Tarif verbinden.
  • Azure Monitor Konfiguration: Konfigurieren Sie Diagnoseeinstellungen, um DDoS-Metriken und Angriffsflussprotokolle an Log Analytics, Event Hubs oder Azure Storage zur Überwachung und Aufbewahrung zu senden.
  • Plan zur Reaktion auf Vorfälle: Dokumentieren Sie die Reaktionsverfahren Ihres Teams für DDoS-Ereignisse, einschließlich Eskalationspfade, Anrufkontakte und Kommunikationsvorlagen. Wenn Sie DDoS Network Protection verwenden, registrieren Sie sich beim DDoS Rapid Response-Team, bevor ein Angriff auftritt.

Sicherheitsüberlegungen

In den folgenden Abschnitten wird beschrieben, wie Sie den DDoS-Schutz mit anderen Azure Sicherheitsdiensten layern und wie Angriffe überwacht werden.

Mehrschichtige Verteidigung mit Azure Firewall

DDoS-Schutz und Azure Firewall arbeiten auf unterschiedlichen Ebenen, ergänzen sich jedoch in einer tiefen Verteidigungsstrategie. Der DDoS-Schutz mindert volumetrische Angriffe am Azure Netzwerk-Edge und verhindert, dass Datenverkehrsfluten Ihre Infrastruktur überwältigen. Azure Firewall überprüft den Datenverkehr, der die DDoS-Filterung überdauert, und wendet präzise Anwendungs- und Netzwerkregeln für Zugriffssteuerung, URL-Filterung und Bedrohungserkennung an.

Aktivieren Sie DDoS-Schutz in virtuellen Netzwerken, die öffentliche IPs der Azure Firewall enthalten, um die Firewall selbst vor volumetrischen Angriffen zu schützen. Ohne diesen Schutz könnte ein anhaltender volumetrischen Angriff die Kapazität der Firewall beeinträchtigen und alle Dienste unterbrechen, die durch sie geleitet werden.

Öffentliche IP-Abdeckung

Wenn Sie den DDoS-Netzwerkschutz in einem virtuellen Netzwerk aktivieren, erhalten alle öffentlichen IPs innerhalb dieses virtuellen Netzwerks automatisch Schutz. Sie benötigen keine Konfiguration pro Ressource. Dies umfasst öffentliche IPs, die Folgendem zugewiesen sind:

  • Azure Firewall
  • Anwendungsgateway und WAF
  • Azure Load Balancer (öffentlich)
  • Azure Bastion
  • Netzwerkschnittstellen für virtuelle Computer
  • VPN Gateway und ExpressRoute-Gateway (durch DDoS-Richtlinie geschützt, adaptive Optimierung wird jedoch nicht unterstützt)
  • Azure API Management (externer virtueller Netzwerkmodus)

Note

Ressourcen, die nur private IPs verwenden, erfordern keinen DDoS-Schutz, da DDoS-Angriffe auf öffentliche Endpunkte abzielen. Wenn auf eine Workload nur über private Endpunkte oder interne Load Balancer zugegriffen werden kann, ist sie keinen volumetrischen Angriffen aus dem Internet ausgesetzt.

Angriffsreaktion und -überwachung

DDoS Network Protection bietet vollständige Angriffssichtbarkeits- und Antwortfunktionen:

  • Kontinuierliche Überwachung: Die Plattform überwacht den Datenverkehr rund um die Uhr auf Anzeichen von DDoS-Angriffen. Die Entschärfung wird automatisch aktiviert, wenn der Datenverkehr die Angriffsschwellenwerte überschreitet.
  • Angriffsanalyse: Detaillierte Ablaufberichte während und nach Angriffen mit fünfminütiger Granularität und Zusammenfassungsberichten nach Angriffen.
  • Warnungsintegration: Konfigurierbare Warnungen über Azure Monitor, wenn ein Angriff gestartet, beendet oder wenn die Entschärfung aktiv ist. Integrieren Sie Ihr SIEM in Ihre Sicherheitsabläufe.
  • DDoS Rapid Response (DRR): Zugriff auf das Microsoft-DDoS-Antwortteam während aktiver Angriffe zur individuellen Abstimmung der Abwehrmaßnahmen. Nur mit Netzwerkschutz verfügbar.
  • Kostenschutz: Serviceguthaben für Berechnungs- und Datenübertragungsskalierungskosten, die durch dokumentierte DDoS-Angriffe verursacht werden. Nur mit Netzwerkschutz verfügbar.

Caution

Kostenschutz erfordert einen dokumentierten Angriff und einen Supportanspruch. Gutschriften werden nicht automatisch angezeigt. Sie müssen eine Anforderung einreichen, nachdem der Angriff entschärft wurde, und Sie müssen Angriffsnachweise aus DDoS-Analysen bereitstellen.

Erkunden Sie verwandte Richtlinien für den Netzwerkentwurf:

Weitere Informationen

Ausführliche Azure Dokumentation zum DDoS-Schutz finden Sie unter:

Nächste Schritte

Tip

Auf eigene Faust erkunden? Kehren Sie zum Übersichtsnavigator zurück, um Ihren nächsten Artikel nach Funktion zu finden.

Als Nächstes in Ihrer Lift-and-Shift-Reise:

Richten Sie die Überwachung für Ihr migriertes Netzwerk ein: Überprüfen Sie die Konnektivität und Leistung nach dem Aktivieren des DDoS-Schutzes.

Als Nächstes in Ihrer Modernisierungsreise:

Konfigurieren Sie dns- und private Namensauflösung: Richten Sie öffentliche DNS-Zonen ein, CNAME-Zuordnung zu Front Door und Traffic Manager, und aktivieren Sie RBAC und DNSSEC.

Als Nächstes in Ihrer cloudübergreifenden Reise:

Richten Sie die cloudübergreifende Überwachung ein: Richten Sie die Überwachung für Ihre cloudübergreifende Umgebung ein, bevor Sie live gehen.

  • Last updated on