Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Si applica a: ✔️ Gateway di applicazione V2
Importante
Il regolamento Microsoft HTTP DDoS nel gateway applicazione di Azure Web application firewall (WAF) v2 è attualmente in anteprima. Vedere le condizioni per l'utilizzo supplementari per le anteprime di Microsoft Azure per termini legali aggiuntivi che si applicano a funzionalità di Azure in versione beta, in anteprima o in altro modo non ancora disponibili a livello generale.
Le inondazioni a livello HTTP rimangono il fattore più frequente degli incidenti di disponibilità delle applicazioni, e i controlli statici (filtri IP e geo, limiti di velocità fissi) spesso non riescono a tenere il passo con le botnet distribuite. Il nuovo set di regole DDoS HTTP è il primo modello di protezione del livello 7 automatizzato (WAF) di Web application firewall di Azure che apprende, rileva e difende con una configurazione utente minima. Una volta assegnato, il set di regole stabilisce continuamente la baseline del traffico normale per ciascun gateway applicazione e, quando i picchi indicano un attacco, blocca in modo selettivo i client dannosi senza necessità di interventi di emergenza.
Funzionamento del set di regole DDoS HTTP
Dopo aver applicato l'insieme di regole HTTP DDoS a una policy associata a un gateway, le baseline del traffico vengono apprese per un minimo di 24 ore. Il set di regole non rileva o blocca gli attacchi fino al completamento della fase di apprendimento di 24 ore.
Le soglie delle richieste vengono apprese a livello di gateway globale. Se un singolo criterio WAF configurato con il set di regole DDoS HTTP viene assegnato a più gateway, le soglie del traffico vengono calcolate separatamente per ogni gateway a cui è collegato il criterio.
Il set di regole DDoS HTTP apprende sia una soglia del gateway globale che singole soglie basate su IP. Le soglie basate su IP vengono applicate solo quando viene superata la soglia globale del gateway per le richieste. Una volta superata la soglia del gateway, qualsiasi indirizzo IP che supera la baseline appresa viene inserito nella casella di penalità. Questa progettazione impedisce al set di regole di bloccare i picchi dai singoli indirizzi IP quando la frequenza totale delle richieste al gateway non supera la soglia.
Ogni regola nel set di regole DDoS HTTP offre tre livelli di riservatezza, ognuno corrispondente a una soglia diversa. Un'impostazione di riservatezza più elevata applica una soglia inferiore per tale regola, mentre un'impostazione di riservatezza inferiore applica una soglia superiore. La sensibilità media è l'impostazione predefinita e consigliata.
Il set di regole DDoS HTTP è il primo set di regole valutato dal WAF di Azure, anche prima delle regole personalizzate.
Importante
Tutte le regole personalizzate configurate con l'azione Consenti non ignorano il set di regole DDoS HTTP, ma ignorano tutte le altre ispezioni WAF.
Regole del set
Il regolamento HTTP DDoS attualmente ha due regole. Puoi configurare ogni regola con sensibilità e impostazioni di azione diverse. Ogni regola mantiene linee di base del traffico diverse per il traffico che corrisponde ai criteri della regola.
Regola 500100: Anomalia rilevata su una frequenza elevata di richieste client: Questa regola tiene traccia e stabilisce una linea di base per tutto il traffico nell'Application Gateway a cui è associata una policy. Quando un cliente supera la soglia stabilita, viene inserito nella casella penale e bloccato per il tempo definito (15 minuti).
Regola 500110: Bot sospetti che inviano alti tassi di richieste: Questa regola traccia e stabilisce una base per il traffico proveniente da bot sospetti basandosi su Microsoft Threat Intelligence. In genere, le soglie per questo traffico sono molto più rigide rispetto alle soglie per il traffico nella regola 500100. Quando le richieste del bot superano la soglia stabilita, il bot viene inserito nella penalità box e bloccato per il tempo definito (15 minuti). I bot classificati come ad alto rischio vengono bloccati immediatamente da questa regola quando viene superata la soglia del gateway globale.
Casella di penalità
Quando il traffico da un client supera la soglia di una delle regole del regolamento HTTP DDoS, il client viene inserito in una casella di penalità per un periodo di tempo (15 minuti), e durante quel tempo il WAF blocca l'IP del client. Quando il tempo della penalità scade, l'IP può accedere al sito a meno che non superi nuovamente la soglia, il che comporta il ritorno nella penalità.
Quando un indirizzo IP supera una soglia, viene registrata una violazione delle regole DDoS HTTP e l'IP viene inserito nell’area delle penalità. Blocchi aggiuntivi mentre l'indirizzo IP si trova nella lista di penalità non vengono registrati.
Monitoraggio del set di regole DDoS HTTP
- Quando un indirizzo IP supera una soglia, il WAF registra un'azione Block per il regolamento HTTP DDoS e incrementa la metrica WAF Managed Rule Match di uno. Ogni richiesta successiva bloccata da un IP nella penalità incrementa la metrica WAF Managed Rule Match.
- Monitoraggio di Azure introduce due nuove metriche: dimensione delle penalità e blocchi penali. Queste metriche tengono traccia del numero di indirizzi IP attualmente presenti nella casella di penalità, nonché del numero di blocchi che si verificano a causa degli INDIRIZZI IP nella casella di penalità.
Limitazioni
Durante l'anteprima, non puoi bypassare il regolamento DDoS o la penalità per il traffico proveniente da specifici indirizzi IP.