Protezione DDoS per reti Azure

Azure offre più livelli di protezione DDoS per difendere i carichi di lavoro da attacchi DDoS (Distributed Denial of Service). Questo articolo confronta la protezione dell'infrastruttura, la protezione di rete DDoS e la protezione IP DDoS per facilitare la scelta del livello corretto.

Informazioni su questo articolo

Azure offre più livelli di protezione DDoS che difendono gli indirizzi IP pubblici da attacchi volumetrici, a livello di protocollo e a livello di applicazione. Tutti i clienti Azure ricevono automaticamente la protezione a livello di infrastruttura. Le organizzazioni con requisiti di disponibilità più rigorosi possono abilitare piani di protezione avanzati. Questi piani offrono garanzie di ottimizzazione adattiva, analisi degli attacchi e protezione dei costi.

Chi ha bisogno di questo articolo

Leggere questo articolo se:

  • Distribuire qualsiasi risorsa con un indirizzo IP pubblico in Azure.
  • È necessaria la protezione supportata dal contratto di servizio per i carichi di lavoro con connessione Internet.
  • Richiedere dati di telemetria degli attacchi, supporto di risposta rapida o rimborso dei costi durante gli eventi DDoS.
  • Esegui servizi dietro Firewall di Azure, Application Gateway o Azure Load Balancer con endpoint pubblici.
  • Si vuole comprendere quando il livello incluso è sufficiente rispetto a quando investire in una protezione avanzata.

Focus su lift-and-shift: la maggior parte dei carichi di lavoro sottoposti a rehosting espone pochi indirizzi IP pubblici. Affidarsi alla protezione inclusa e sempre attiva durante la migrazione e aggiungere DDoS Network Protection solo nelle reti virtuali (VNet) con endpoint esposti a Internet.

Focus sulla modernizzazione: le app rivolte ai clienti e distribuite in più aree geografiche giustificano l'adozione di protezione della rete DDoS nelle reti virtuali che ospitano gli IP pubblici, inclusi quelli usati come interfaccia per Frontdoor di Azure, Gateway applicazione e i bilanciatori del carico.

Focus multi-cloud: proteggere i punti di ingresso di Azure che gestiscono il traffico multi-cloud e delle filiali. Applicare la protezione DDoS agli indirizzi IP pubblici nell'hub rete WAN virtuale e nei gateway con connessione Internet.

Azure servizi e funzionalità

Nella tabella seguente vengono confrontate le tre opzioni di protezione DDoS disponibili in Azure.

Livello di protezione Cost Scope Funzionalità principali Ideale per
Protezione dell'infrastruttura DDoS di Azure Gratuito (automatico) Tutti gli indirizzi IP pubblici Azure Monitoraggio sempre attivo, mitigazione in tempo reale degli attacchi volumetrici di livello L3/L4, la stessa protezione che difende i servizi di Microsoft Tutti i clienti Azure. Non è necessaria alcuna configurazione. Protegge da attacchi comuni a livello di rete.
Protezione di rete DDoS Per piano (copre fino a 100 indirizzi IP pubblici per tenant) A livello di tenant: un piano copre le reti virtuali collegate tra più sottoscrizioni Regolazione adattiva per IP pubblico, analisi e report sugli attacchi, accesso al team DDoS Rapid Response (DRR), protezione dei costi, SLA sulla disponibilità, sconto su Application Gateway WAF Carichi di lavoro di produzione che richiedono garanzie sugli SLA, analisi forense degli attacchi e protezione finanziaria dai costi della scalabilità orizzontale.
Protezione IP DDoS Per-IP Indirizzi IP pubblici individuali Stesso motore di mitigazione principale di Protezione di rete, ottimizzazione adattiva, analisi degli attacchi Distribuzioni più piccole o singoli indirizzi IP in cui un piano completo non è conveniente. Non include la risposta rapida DDoS, la protezione dei costi, lo sconto WAF o la protezione del livello Public IP Basic.

Che cosa protegge ogni livello

Diagramma che mostra i tre livelli di protezione DDoS e il relativo mapping alle risorse Azure.

La protezione dell'infrastruttura DDoS di Azure mitiga gli attacchi al perimetro di rete di Azure prima che raggiungano le risorse. Questa protezione usa la stessa infrastruttura di rilevamento e mitigazione sempre attiva che protegge Microsoft 365, Xbox e altri servizi online Microsoft. La protezione dell'infrastruttura contrasta i comuni attacchi volumetrici, come i flood UDP e l'amplificazione ICMP. Funziona in modo trasparente: nessuna configurazione, nessuna registrazione e nessun costo aggiuntivo.

DDoS Network Protection e DDoS IP Protection aggiungono una profilazione intelligente per IP in aggiunta al livello dell'infrastruttura. Questi livelli apprendono i normali modelli di traffico dell'applicazione nel tempo (in genere entro sette-14 giorni) e ottimizzano automaticamente tre criteri di mitigazione per ogni indirizzo IP pubblico protetto:

  • Criterio TCP SYN: protegge dagli attacchi SYN flood tenendo traccia dello stato della connessione e bloccando i tentativi di handshake non legittimi.
  • Criteri TCP: rileva e attenua i modelli di traffico TCP anomali, tra cui inondazioni ACK e esaurimento delle connessioni.
  • Criteri UDP: identifica e filtra le inondazioni UDPmetriche, consentendo al contempo il traffico legittimo dell'applicazione.

L'ottimizzazione adattiva garantisce che le soglie di mitigazione corrispondano al profilo di traffico specifico anziché applicare limiti generici. Questo approccio riduce al minimo i falsi positivi durante i picchi di traffico provenienti da origini legittime, ad esempio campagne di marketing o picchi stagionali.

Come scegliere

Usare le indicazioni sulle decisioni seguenti per selezionare il livello di protezione DDoS appropriato per il carico di lavoro.

Quando passare dalla protezione dell'infrastruttura

La protezione dell'infrastruttura DDoS di Azure è sempre attiva e offre una protezione efficace contro i comuni attacchi volumetrici. Valutare tuttavia un aggiornamento alla protezione di rete o alla protezione IP quando il carico di lavoro soddisfa uno dei criteri seguenti:

  • Requisiti SLA di disponibilità: La tua azienda richiede una garanzia di disponibilità del 99,99% per i servizi esposti al pubblico. La protezione dell'infrastruttura non ha un contratto di servizio rivolto ai clienti.
  • Obblighi di conformità: i framework normativi richiedono una protezione DDoS documentata con funzionalità di segnalazione degli attacchi e risposta agli eventi imprevisti.
  • Carichi di lavoro di alto valore: servizi che generano ricavi in cui un attacco prolungato potrebbe causare un impatto finanziario significativo. I crediti di protezione dei costi bilanciano le spese di aumento delle prestazioni durante gli attacchi.
  • Endpoint pubblici multipli: ambienti con bilanciatori del carico, firewall e gateway applicativi che presentano più superfici di attacco.
  • Maturità operativa: i team delle operazioni di sicurezza che possono usare l'analisi degli attacchi, configurare gli avvisi e coinvolgere il team di risposta rapida DDoS durante gli eventi imprevisti.

Tabella delle decisioni

Scenario Livello consigliato Motivazione
Ambiente di sviluppo/test con indirizzi IP pubblici Protezione dell'infrastruttura (gratuita) Protezione automatica senza costi. Adeguato per carichi di lavoro non di produzione senza requisiti di SLA.
App di produzione singola con pochi indirizzi IP pubblici Protezione IP DDoS La tariffazione per IP è vantaggiosa per le implementazioni di piccole dimensioni. Fornisce l'ottimizzazione adattiva e l'analisi degli attacchi senza richiedere un piano completo.
Enterprise con 10 o più indirizzi IP pubblici tra le sottoscrizioni Protezione di rete DDoS Un piano per tenant copre fino a 100 indirizzi IP pubblici. Include la protezione dei costi, la risposta rapida DDoS, lo sconto WAF e un contratto di servizio per la disponibilità.
Carichi di lavoro soggetti a normativa che richiedono analisi forense degli attacchi Protezione di rete DDoS I log dei flussi di attacco, l'integrazione degli avvisi e il team di risposta rapida DDoS supportano i requisiti di conformità e risposta agli eventi imprevisti.

Modello di costi

La Protezione di rete DDoS prevede una tariffa mensile fissa che copre fino a 100 indirizzi IP pubblici tra tutte le VNet collegate nel tenant Microsoft Entra. Gli indirizzi IP aggiuntivi superiori a 100 comportano addebiti mensili per eccedenza IP. Per le organizzazioni con meno di tra 15 e 20 indirizzi IP pubblici, valutate se DDoS IP Protection offra una maggiore convenienza economica confrontando il costo del piano con l'alternativa per IP.

Importante

Un piano di protezione DDoS per tenant copre tutte le VNet collegate nelle varie sottoscrizioni. Non sono necessari più piani per aree o sottoscrizioni diverse. Il piano viene creato in una regione specifica, ma protegge le VNet in qualsiasi regione del tenant.

I costi di protezione IP DDoS per ogni indirizzo IP pubblico protetto al mese. Nessun piano necessario. Questa opzione è adatta alle organizzazioni che necessitano di una protezione avanzata per un numero ridotto di indirizzi IP senza l'impegno dei costi di un piano completo. Tuttavia, la protezione IP DDoS non include l'accesso al team di risposta rapida DDoS, i crediti per la protezione dei costi o lo sconto sulla fatturazione del WAF di Application Gateway.

Sconto per gateway applicazione WAF

Quando si abilita DDoS Network Protection nella rete virtuale che contiene un Application Gateway, per il componente WAF si applica la tariffa Standard v2 di Application Gateway anziché la tariffa WAF più elevata. Questo sconto non si applica alla protezione IP DDoS.

Considerazioni relative alla progettazione

Focus di progettazione per il lift-and-shift DDoS

  • Inizia con la protezione dell'infrastruttura DDoS sempre attiva che copre ogni IP pubblico di Azure, quindi aggiungi DDoS Network Protection alle reti virtuali con carichi di lavoro esposti a Internet.
  • Dare priorità ai pochi endpoint pubblici che un ambiente sottoposto a rehosting espone in genere (ad esempio, un singolo livello web o un gateway VPN) anziché a ogni subnet.
  • Un piano per tenant copre tutte le reti virtuali collegate tra sottoscrizioni e aree, quindi non è necessario un piano separato per ogni applicazione migrata.
  • Acquisisci tempestivamente i dati di telemetria degli attacchi in modo da poter stabilire un profilo di riferimento del traffico normale prima di inasprire le soglie.

Modernizzare l'approccio alla progettazione DDoS

  • Abilitare la protezione di rete DDoS nelle reti virtuali che ospitano indirizzi IP pubblici per le app esposte ai clienti, incluse quelle associate alle origini di Frontdoor di Azure, ad Application Gateway e ai servizi di bilanciamento del carico pubblici.
  • Combina la protezione DDoS con WAF: il componente WAF di Application Gateway viene fatturato alla tariffa Standard v2 quando Protezione di rete DDoS è abilitata nella rete virtuale.
  • Per le progettazioni di più aree attive, verificare che gli indirizzi IP pubblici di ogni area siano coperti, perché un piano tenant protegge le reti virtuali in qualsiasi area.
  • Visualizza le metriche e gli avvisi DDoS nel sistema di monitoraggio operativo, in modo che il team della piattaforma possa vedere gli attacchi insieme agli altri segnali di rete.

Focus sulla progettazione DDoS tra cloud

  • Proteggere il traffico in ingresso sul lato Azure che gestisce il traffico tra cloud e sedi periferiche, ad esempio gli indirizzi IP pubblici di un hub rete WAN virtuale protetto e i gateway esposti a Internet.
  • Non usare indirizzi IP pubblici diretti sulle macchine virtuali; esporre invece i carichi di lavoro tramite Application Gateway o Front Door e proteggere tali endpoint.
  • Estendere il piano tenant esistente alle nuove aree di Azure aggiunte durante la migrazione dei cloud, anziché creare piani separati.
  • Includere i dati di telemetria DDoS nel monitoraggio tra cloud, in modo da poter correlare gli attacchi che si estendono su più bordi del cloud.

Prerequisiti

Prima di abilitare la protezione DDoS avanzata, assicurarsi di disporre di:

  • Indirizzi IP pubblici: la protezione DDoS si applica alle risorse IP pubbliche Azure. Le risorse senza indirizzi IP pubblici non sono esposte ad attacchi DDoS basati su Internet e non necessitano di copertura.
  • Una rete virtuale: Protezione di rete DDoS è abilitata a livello di rete virtuale. Tutti gli INDIRIZZI IP pubblici all'interno di una rete virtuale protetta vengono coperti automaticamente.
  • Autorizzazioni: il ruolo Collaboratore rete o un ruolo personalizzato con Microsoft.Network/ddosProtectionPlans autorizzazioni è necessario per creare o gestire piani DDoS.
  • Un piano DDoS per tenant (Protezione di rete): creare un singolo piano e collegarlo alle reti virtuali che contengono gli INDIRIZZI IP pubblici protetti. È possibile collegare VNets da più sottoscrizioni allo stesso piano.
  • Monitoraggio di Azure configurazione: configurare le impostazioni di diagnostica per inviare le metriche DDoS e i log dei flussi di attacco a Log Analytics, Hub eventi o Archiviazione di Azure per il monitoraggio e la conservazione.
  • Piano di risposta agli eventi imprevisti: documentare le procedure di risposta del team per gli eventi DDoS, inclusi i percorsi di escalation, i contatti su chiamata e i modelli di comunicazione. Se si usa Protezione di rete DDoS, registrarsi al team di risposta rapida DDoS prima che si verifichi un attacco.

Considerazioni relative alla sicurezza

Le sezioni seguenti descrivono come eseguire il layer di protezione DDoS con altri servizi di sicurezza Azure e come monitorare gli attacchi.

Difesa a più livelli con Firewall di Azure

Protezione DDoS e Firewall di Azure operano a livelli diversi, ma si integrano tra loro in una strategia di difesa avanzata. La protezione DDoS riduce gli attacchi volumetrici nella rete perimetrale Azure, impedendo alle inondazioni del traffico di sovraccaricare l'infrastruttura. Firewall di Azure controlla il traffico che sopravvive al filtro DDoS e applica regole di rete e applicazioni granulari per il controllo di accesso, il filtro URL e l'intelligence sulle minacce.

Abilitare la protezione DDoS nelle reti virtuali contenenti Firewall di Azure indirizzi IP pubblici per proteggere il firewall stesso da attacchi volumetrici. Senza questa protezione, un attacco volumetrico prolungato potrebbe esaurire la capacità del firewall, interrompendo tutti i servizi indirizzati attraverso di esso.

Copertura degli IP pubblici

Quando si abilita protezione di rete DDoS in una rete virtuale, tutti gli INDIRIZZI IP pubblici all'interno della rete virtuale ricevono la protezione automatica. Non è necessaria la configurazione per risorsa. Questa copertura include indirizzi IP pubblici collegati a:

  • Firewall di Azure
  • Gateway applicativo e WAF
  • Azure Load Balancer (pubblico)
  • Azure Bastion
  • Interfacce di rete di macchina virtuale
  • Gateway VPN e Gateway ExpressRoute (protetti da criteri DDoS, ma l'ottimizzazione adattiva non è supportata)
  • Gestione API di Azure (modalità rete virtuale esterna)

Note

Le risorse che usano solo indirizzi IP privati non richiedono la protezione DDoS perché gli attacchi DDoS usano endpoint pubblici. Se un carico di lavoro è accessibile solo tramite endpoint privati o servizi di bilanciamento del carico interno, non viene esposto ad attacchi volumetrici originati da Internet.

Risposta e monitoraggio degli attacchi

Protezione di rete DDoS offre funzionalità complete di visibilità e risposta agli attacchi:

  • Monitoraggio continuo: la piattaforma monitora il traffico 24 ore su 24 alla ricerca di indicatori di attacchi DDoS. La mitigazione viene attivata automaticamente quando il traffico supera le soglie di attacco.
  • Analisi degli attacchi: report dettagliati sui flussi durante e dopo gli attacchi, con granularità di cinque minuti e report di riepilogo post-attacco.
  • Integrazione degli avvisi: avvisi configurabili tramite Monitoraggio di Azure quando un attacco inizia, termina o quando la mitigazione è attiva. Integra il tuo SIEM per i flussi di lavoro delle operazioni di sicurezza.
  • DDoS Rapid Response (DRR): accesso al team di risposta DDoS Microsoft durante gli attacchi attivi per l'ottimizzazione della mitigazione personalizzata. Disponibile solo con Protezione di rete.
  • Protezione dai costi: crediti di servizio per i costi di scalabilità orizzontale del calcolo e del trasferimento dei dati causati da attacchi DDoS documentati. Disponibile solo con Protezione di rete.

Attenzione

La protezione dei costi richiede un attacco documentato e un'attestazione di supporto. I crediti non sono automatici. È necessario inviare una richiesta dopo che l'attacco è stato mitigato e fornire prove di attacco dall'analisi DDoS.

Esplorare le linee guida per la progettazione delle reti correlate:

Ulteriori informazioni

Per una documentazione approfondita su Azure DDoS Protection, vedere:

Passaggi successivi

Tip

Esplorazione da sola? Tornare allo strumento di navigazione di panoramica per trovare l'articolo successivo in base alla funzionalità.

Successivamente, nel viaggio in modalità lift-and-shift:

Configurare il monitoraggio per la rete migrata: convalidare la connettività e le prestazioni dopo aver abilitato la protezione DDoS.

Nel prossimo percorso di modernizzazione:

Configurare il DNS e la risoluzione dei nomi privati: configurare le zone DNS pubbliche, il mapping CNAME verso Frontdoor e Gestione traffico e abilitare il controllo degli accessi in base al ruolo (RBAC) e DNSSEC.

Il prossimo passo nel tuo percorso multicloud:

Configurare il monitoraggio multi-cloud: configurate il monitoraggio per l'infrastruttura multi-cloud prima della messa in produzione.

  • Last updated on