Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Gilt für: ✔️ Anwendungsgateway V2
Von Bedeutung
Das Microsoft HTTP DDoS-Regelwerk in der Azure Application Gateway Web Application Firewall (WAF) v2 befindet sich derzeit in der Vorschau. Die zusätzlichen Nutzungsbestimmungen für Microsoft Azure-Vorschauen enthalten rechtliche Bedingungen. Sie gelten für diejenigen Azure-Features, die sich in der Beta- oder Vorschauversion befinden oder aber anderweitig noch nicht zur allgemeinen Verfügbarkeit freigegeben sind.
HTTP-Layer-Überschwemmungen bleiben der häufigste Auslöser für Anwendungsverfügbarkeitsvorfälle, und statische Kontrollen (IP- und Geofilter, feste Ratenbegrenzungen) können oft nicht mit verteilten Botnets Schritt halten. Das neue HTTP-DDoS-Regelet ist das erste automatisierte Schutzmodell der Azure Web Application Firewall (WAF), das lernt, erkennt und schützt mit minimaler Benutzerkonfiguration. Sobald das Regelset zugewiesen wurde, erfasst es kontinuierlich den normalen Datenverkehr für jedes Anwendungsgateway. Bei Spitzen, die auf einen Angriff hindeuten, blockiert es selektiv auffällige Clients, ohne dass eine Notanpassung erforderlich ist.
Funktionsweise des HTTP-DDoS-Regelets
Sobald der HTTP-DDoS-Regelsatz auf eine Richtlinie angewendet wird, die an ein Gateway angefügt ist, werden die Datenverkehrsgrundlagen mindestens 24 Stunden lang erlernt. Der Regelsatz erkennt oder blockiert Angriffe erst, nachdem die 24-stündige Lernphase abgeschlossen ist.
Anforderungsschwellenwerte werden auf globaler Gatewayebene gelernt. Wenn eine einzelne WAF-Richtlinie, die mit dem HTTP-DDoS-Ruleset konfiguriert ist, mehreren Gateways zugewiesen wird, werden die Datenverkehrsschwellenwerte für jedes Gateway, an das die Richtlinie angefügt ist, separat berechnet.
Das HTTP-DDoS-Regelet lernt sowohl einen globalen Gatewayschwellenwert als auch einzelne IP-basierte Schwellenwerte kennen. IP-basierte Schwellenwerte werden nur erzwungen, wenn der globale Gatewayschwellenwert für Anforderungen überschritten wird. Sobald der Gateway-Schwellenwert überschritten wurde, wird jede IP-Adresse, die ihre erlernte Basislinie überschreitet, in die Strafzone versetzt. Dieses Design verhindert, dass der Regelsatz Spitzenlasten von einzelnen IP-Adressen blockiert, wenn die Gesamtanforderungsrate für das Gateway den Schwellenwert nicht überschreitet.
Jede Regel im HTTP-DDoS-Regelet bietet drei Vertraulichkeitsstufen, die jeweils einem anderen Schwellenwert entsprechen. Eine höhere Vertraulichkeitseinstellung wendet einen niedrigeren Schwellenwert für diese Regel an, während eine niedrigere Vertraulichkeitseinstellung einen höheren Schwellenwert anwendet. Mittlere Empfindlichkeit ist die Standardeinstellung und empfohlene Einstellung.
Das HTTP-DDoS-Regelet ist das erste vom Azure WAF ausgewertete Regelet, auch vor benutzerdefinierten Regeln.
Von Bedeutung
Alle benutzerdefinierten Regeln, die mit der Aktion "Zulassen " konfiguriert sind, umgehen nicht das HTTP-DDoS-Regelet, sondern umgehen alle anderen WAF-Inspektionen.
Regelsatzregeln
Das HTTP DDoS-Regelwerk hat derzeit zwei Regeln. Du kannst jede Regel mit unterschiedlichen Empfindlichkeits- und Aktionseinstellungen konfigurieren. Jede Regel verwaltet unterschiedliche Datenverkehrsgrundlinien für den Datenverkehr, der den Regelkriterien entspricht.
Regel 500100: Anomalie entdeckt bei hoher Anzahl von Clientanforderungen: Diese Regel überwacht und erstellt eine Basislinie für den gesamten Datenverkehr auf dem Anwendungsgateway, an das eine Richtlinie angefügt ist. Wenn ein Client die festgelegte Schwelle überschreitet, wird er in die Strafbox gesetzt und für die definierte Zeit (15 Minuten) blockiert.
Regel 500110: Mutmaßliche Bots senden hohe Anfrageraten: Diese Regel verfolgt und legt eine Ausgangslinie für den Datenverkehr fest, der von verdächtigen Bots basierend auf Microsoft Threat Intelligence stammt. Im Allgemeinen sind die Schwellenwerte für diesen Datenverkehr viel strenger als die Schwellenwerte für den Datenverkehr in Regel 500100. Wenn Bot-Anfragen die festgelegte Schwelle überschreiten, wird der Bot in die Strafbox gelegt und für die definierte Zeit (15 Minuten) blockiert. Bots, die als hohes Risiko klassifiziert sind, werden sofort durch diese Regel blockiert, wenn der globale Gatewayschwellenwert verletzt wird.
Das Straffeld
Sobald der Datenverkehr von einem Client die Schwelle für eine der Regeln im HTTP-DDoS-Regelwerk überschreitet, wird der Client für eine gewisse Zeit (15 Minuten) in eine Strafbox gesetzt, und währenddessen blockiert das WAF die Client-IP. Wenn die Strafbox-Zeit endet, kann die IP auf die Seite zugreifen, es sei denn, sie überschreitet die Schwelle erneut, was dazu führt, dass sie wieder in die Strafbox zurückkehrt.
Wenn eine IP-Adresse einen Schwellenwert überschreitet, wird ein Regeltreffer für das HTTP-DDoS-Regelet protokolliert, und die IP wird in das Straffeld gesetzt. Zusätzliche Blöcke, während sich diese IP in der Strafperiode befindet, werden nicht protokolliert.
Überwachen des HTTP DDoS-Regelsatzes
- Wenn eine IP-Adresse eine Schwelle überschreitet, protokolliert die WAF eine Block-Aktion für das HTTP DDoS-Regelwerk und erhöht die WAF Managed Rule Match-Metrik um eins. Jede weitere blockierte Anfrage von einer IP in der Strafbox erhöht die WAF Managed Rule Match-Metrik.
- Azure Monitor führt zwei neue Metriken ein: Strafboxgröße und Strafbox-Blöcke. Diese Metriken verfolgen die Anzahl der IPs, die sich derzeit in der Sperrzone befinden, sowie die Anzahl der Sperrungen, die aufgrund von IPs in der Sperrzone auftreten.
Einschränkungen
Während der Vorschau kann man das DDoS-Regelwerk oder die Strafbox für Verkehr von bestimmten IP-Adressen nicht umgehen.