Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Von Bedeutung
Das Microsoft HTTP DDoS Ruleset in der Web Application Firewall (WAF) von Azure Front Door befindet sich derzeit im PREVIEW-Status. Die zusätzlichen Nutzungsbestimmungen für Microsoft Azure-Vorschauen enthalten rechtliche Bedingungen. Sie gelten für diejenigen Azure-Features, die sich in der Beta- oder Vorschauversion befinden oder aber anderweitig noch nicht zur allgemeinen Verfügbarkeit freigegeben sind.
HTTP-Layer-Überschwemmungen bleiben der häufigste Treiber für Anwendungsverfügbarkeitsvorfälle, und statische Steuerelemente (IP/Geo-Filter, Feste Rate-Grenzwerte) können häufig nicht mit verteilten Botnets schritt halten. Das neue HTTP-DDoS-Regelet ist das erste automatisierte Schutzmodell der Azure Web Application Firewall (WAF), das lernt, erkennt und schützt mit minimaler Benutzerkonfiguration. Sobald das Regelset zugewiesen wurde, erfasst es kontinuierlich den normalen Datenverkehr für jedes Azure Front Door-Profil. Bei Spitzen, die auf einen Angriff hindeuten, blockiert es selektiv auffällige Clients, ohne dass eine Notanpassung erforderlich ist.
Funktionsweise des HTTP-DDoS-Regelets
Sobald das DDoS-Regelset auf eine Richtlinie angewendet wird, die einem Azure Front Door Premium-Profil zugeordnet ist, werden Die Basispläne für den Datenverkehr mithilfe eines rollierenden Fensters berechnet. Bei Profilen, die in mindestens 50% der letzten sieben Tage Datenverkehr erhalten haben, berechnet der Regelsatz die Baselines und beginnt innerhalb von 24 bis 36 Stunden, Spitzen zu erkennen. Wenn das Front Door-Profil nicht genügend Datenverkehr (weniger als 50 % der letzten sieben Tage) erhalten hat, erkennt oder blockiert das Regelset keine Angriffe, bis genügend Datenverkehr vorhanden ist, um zuverlässige Basislinien zu schaffen.
Anforderungsschwellenwerte werden auf globaler Profilebene gelernt. Wenn eine einzelne WAF-Richtlinie, die mit dem HTTP-DDoS-Regelsatz konfiguriert ist, mehreren Azure Front Door-Profilen zugewiesen ist, werden Datenverkehrsschwellenwerte für jedes Profil, an das die Richtlinie angefügt ist, separat berechnet.
Das HTTP-DDoS-Regelet lernt sowohl einen globalen Profilschwellenwert als auch einen Schwellenwert pro IP-Adresse. Bis der Profilschwellenwert für Anforderungen verletzt wird, werden IP-basierte Schwellenwerte nicht ausgelöst. Sobald der Profilschwellenwert überschritten wurde, werden IP-Schwellenwerte durchgesetzt, und alle IP-Adressen, die ihre Basislinie überschreiten, werden mit der gelernten Basisrate gedrosselt. Dieser Ansatz verhindert, dass das Regelset Datenverkehrsspitzen von einigen IP-Adressen blockiert, es sei denn, sie verursachen, dass die Gesamtanforderungsrate im Profil den Schwellenwert überschreitet.
Jede Regel im HTTP-DDoS-Regelet bietet drei Vertraulichkeitsstufen, die jeweils einem anderen Schwellenwert entsprechen. Eine höhere Vertraulichkeitseinstellung wendet einen niedrigeren Schwellenwert für diese Regel an, während eine niedrigere Vertraulichkeitseinstellung einen höheren Schwellenwert anwendet. Die Standardeinstellung und die empfohlene Einstellung ist mittlere Empfindlichkeit.
Das HTTP-DDoS-Regelet ist das erste von Azure WAF ausgewertete Regelet, auch vor den benutzerdefinierten Regeln.
Von Bedeutung
Alle benutzerdefinierten Regeln, die mit der Aktion "Zulassen " konfiguriert sind, umgehen nicht das HTTP-DDoS-Regelet, sondern umgehen alle anderen WAF-Inspektionen.
Regelsetregeln
Das HTTP-DDoS-Regelet verfügt derzeit über zwei Regeln, die jeweils mit unterschiedlichen Vertraulichkeits- und Aktionseinstellungen konfiguriert werden können. Jede Regel verwaltet separate Verkehrsgrundlagen für Datenverkehr, der ihren Kriterien entspricht.
Regel 500100: Anomalie erkannt bei hoher Anzahl an Clientanforderungen: Diese Regel verfolgt und legt eine Basislinie für allen Verkehr auf dem Profil fest, dem eine Richtlinie zugewiesen ist. Wenn ein Client den festgelegten Schwellenwert überschreitet, wird die entsprechende konfigurierte Aktion ausgelöst.
Regel 500110: Verdächtige Bots, die hohe Anfragen senden: Mit dieser Regel können Sie unterschiedliche Empfindlichkeitsstufen basierend auf Datenverkehr festlegen, der von Microsoft Threat Intelligence als Bots eingestuft wurde. Bei verdächtigen Bots ist der Standardschwellenwert strenger als der Standardschwellenwert für alle anderen IP-Adressen. Bots, die als hohes Risiko klassifiziert sind, werden sofort durch diese Regel blockiert, wenn der globale Profilschwellenwert verletzt wird.
Überwachen des HTTP DDoS-Regelsatzes
Einige Überwachungsfunktionen sind während der Vorschau eingeschränkt. Die folgenden Überwachungsoptionen sind derzeit für das HTTP-DDoS-Ruleset verfügbar:
Wenn eine IP-Adresse zuerst einen Schwellenwert verletzt, wird ein Protokolleintrag für diese IP-Adresse als Blockaktion für das HTTP-DDoS-Regelet aufgezeichnet, und die Metrik für die WAF-verwaltete Regel "Übereinstimmung" wird erhöht.
Sie können die Anzahl der Blöcke mithilfe der Metrik "Anzahl der Webanwendungsfirewallanforderungen" überwachen und nach Regelnamen filtern.
Die Aktivitätsmetrik „HTTPDDoSRuleset“ der Web Application Firewall nimmt den Wert „1“ an, sobald das DDoS-Ruleset das Lernen abgeschlossen hat und bereit ist, Maßnahmen gegen den Datenverkehr zu ergreifen, der die gelernten Schwellenwerte überschreitet.
Einschränkungen
Die folgenden Einschränkungen gelten für das HTTP-DDoS-Ruleset während der Vorschau:
- Es gibt keine Möglichkeit, Datenverkehr von bestimmten IP-Adressen zuzulassen, um das DDoS-Regelset oder das Straffeld zu umgehen. Für diese Funktion wird vor der allgemeinen Verfügbarkeit des HTTP-DDoS-Regelwerks ein anstehendes Feature erscheinen.