Azure ネットワークの DDoS 保護

Azureには、分散型サービス拒否 (DDoS) 攻撃からワークロードを防御するための複数の DDoS 保護レベルが用意されています。この記事では、インフラストラクチャ保護、DDoS ネットワーク保護、および DDoS IP 保護を比較して、適切なレベルを選択するのに役立ちます。 DDoS Protectionは、Azure FirewallおよびAzure Web Application Firewall(WAF)と並ぶ3つのコアとなるAzureネットワークセキュリティサービスの一つです。

この記事の内容

Azureでは、帯域幅、プロトコル、アプリケーション層の攻撃からパブリック IP アドレスを保護する複数の層の DDoS 保護が提供されます。すべてのAzureのお客様は、インフラストラクチャレベルの保護を自動的に受け取ります。可用性要件が厳しい組織では、強化された保護プランを有効にすることができます。これらのプランは、アダプティブチューニング、攻撃分析、およびコスト保護の保証を提供します。

この記事が必要なユーザー

次の場合は、この記事をお読みください。

パブリック IP アドレスを持つリソースを Azure にデプロイします。
インターネットに接続するワークロードに対して SLA に基づく保護が必要です。
DDoS イベント中に、攻撃テレメトリ、迅速な対応サポート、またはコストの払い戻しが必要です。
パブリックエンドポイントを使用して、Azure Firewall、Application Gateway、またはAzure Load Balancerの背後でサービスを実行します。
含まれているレベルで十分な場合と、強化された保護に投資するタイミングを理解したい。

リフトアンドシフト重視: リホストされたワークロードのほとんどでは、公開されるパブリック IP は少数です。移行時には常時接続の保護に頼り、インターネット接続のエンドポイントを持つ仮想ネットワークにのみDDoSネットワーク保護を追加してください。

焦点の近代化:顧客向けマルチリージョンアプリは、Azure Front Door、Application Gateway、ロードバランサーを含むパブリックIPを保持する仮想ネットワーク全体でDDoSネットワーク保護を正当化します。

クラウド間のフォーカス:クラウド間およびブランチトラフィックを終了するAzureイングレスポイントを保護します。 Virtual WAN ハブとインターネットに接続するゲートウェイのパブリック IP に DDoS 保護を適用します。

Azureサービスと機能

次の表は、Azureで使用できる 3 つの DDoS 保護オプションを比較しています。

保護レベル	Cost	Scope	主な機能	最適な用途
Azure DDoS インフラストラクチャ保護	無料 (自動)	Azure のすべてのパブリック IP アドレス	常時監視、L3/L4 容積攻撃のリアルタイム軽減、Microsoft独自のサービスを防御するのと同じ保護	すべてのAzureのお客様。コンフィギュレーションは必要ありません。一般的なネットワーク層攻撃から保護します。
DDoS ネットワーク保護	プランごと (テナントあたり最大 100 個のパブリック IP を対象)	テナント全体:1プランはサブスクリプション間で連結された仮想ネットワークをカバーします	パブリック IP ごとのアダプティブチューニング、攻撃分析とレポート、DDoS Rapid Response (DRR) チームアクセス、コスト保護、可用性 SLA、Application Gateway WAF 割引	SLA の保証、攻撃フォレンジック、およびスケールアウトコストに対する財務保護を必要とする運用ワークロード。
DDoS IP 保護	Per-IP	個別のパブリック IP	ネットワーク保護、アダプティブチューニング、攻撃分析と同じコア軽減エンジン	フルプランでは費用対効果が見合わない、小規模な導入または個別の IP。 DDoS Rapid Response、コスト保護、WAF 割引、パブリック IP Basic レベルの保護は含まれません。

各レベルで保護される内容

Azure DDoS インフラストラクチャ保護は、リソースに到達する前に、Azure ネットワークエッジでの攻撃を軽減します。この保護では、Microsoft 365、Xbox、およびその他のMicrosoft オンラインサービスを保護するのと同じ常時オン検出と軽減インフラストラクチャが使用されます。インフラストラクチャ保護は、UDP フラッドや ICMP 増幅などの一般的な容積測定攻撃を処理します。これは透過的に動作します。構成なし、登録なし、追加コストなし。

DDoS ネットワーク保護と DDoS IP 保護により、インフラストラクチャレイヤーの上にインテリジェントな IP ごとのプロファイリングが追加されます。これらのレベルでは、時間の経過と同時にアプリケーションの通常のトラフィックパターン (通常は 7 ~ 14 日以内) を学習し、保護されたパブリック IP アドレスごとに 3 つの軽減ポリシーを自動的に調整します。

TCP SYN ポリシー: 接続状態を追跡し、不正なハンドシェイクの試行をドロップすることで、SYN フラッド攻撃から保護します。
TCP ポリシー: ACK の洪水や接続の枯渇など、異常な TCP トラフィックパターンを検出して軽減します。
UDP ポリシー: 正当なアプリケーショントラフィックを許可しながら、ボリューム UDP フラッドを識別してフィルター処理します。

アダプティブチューニングにより、軽減策のしきい値は、一般的な制限を適用するのではなく、特定のトラフィックプロファイルと一致します。このアプローチにより、マーケティングキャンペーンや季節的なピークなど、正規の発生元によるトラフィックの急増時における誤検知を最小限に抑えられます。

選択する方法

次の決定ガイダンスを使用して、ワークロードに適した DDoS 保護レベルを選択します。

インフラストラクチャ保護からアップグレードするタイミング

Azure DDoS インフラストラクチャ保護は常にアクティブであり、一般的な容積測定攻撃に対する意味のある防御を提供します。ただし、ワークロードが次のいずれかの条件を満たしている場合は、ネットワーク保護または IP 保護へのアップグレードを評価します。

可用性 SLA の要件: ビジネスでは、一般向けサービスに対して 99.99% の可用性保証が必要です。インフラストラクチャ保護には、顧客向けの SLA はありません。
コンプライアンスの義務: 規制フレームワークでは、攻撃レポートとインシデント対応機能を使用して文書化された DDoS 保護が必要です。
価値の高いワークロード: 継続的な攻撃が財務上の大きな影響を与える可能性がある収益を生み出すサービス。コスト保護クレジットは、攻撃中のスケールアウト費用を相殺します。
複数のパブリックエンドポイント: ロード バランサー、ファイアウォール、および複数の攻撃面を提示するアプリケーションゲートウェイを持つ環境。
運用の成熟度: 攻撃分析を使用し、アラートを構成し、インシデント時に DDoS Rapid Response チームを関与させるセキュリティ運用チーム。

デシジョンテーブル

シナリオ	推奨レベル	根拠
パブリック IP を使用した開発/テスト環境	インフラストラクチャ保護 (無料)	コストなしで自動保護。 SLA 要件のない非運用ワークロードに対して十分です。
パブリック IP が少ない単一運用アプリ	DDoS IP 保護	Per-IP 価格は、小規模なデプロイではコスト効率に優れています。完全な計画を必要とせずにアダプティブチューニングと攻撃分析を提供します。
サブスクリプション全体で 10 以上のパブリック IP を持つエンタープライズ	DDoS ネットワーク保護	テナントごとに 1 つのプランで、最大 100 個のパブリック IP がカバーされます。コスト保護、DDoS Rapid Response、WAF 割引、可用性 SLA が含まれます。
攻撃フォレンジックを必要とする規制されたワークロード	DDoS ネットワーク保護	攻撃フローログ、アラート統合、DDoS Rapid Response チームアクセスは、コンプライアンスとインシデント対応の要件をサポートします。

コストモデル

DDoSネットワーク保護は、Microsoft Entraテナント内のすべての連結された仮想ネットワークで最大100のパブリックIPアドレスをカバーする固定月額料金を使用します。 100 を超える追加の IP では、IP ごとの超過料金が毎月発生します。パブリック IP が 15 から 20 未満の組織の場合は、計画コストと IP ごとの代替コストを比較することで、DDoS IP Protection がコスト効率を向上させるかどうかを評価します。

Important

テナントごとに1つのDDoS防護プランが、サブスクリプションをまたいで連結されたすべての仮想ネットワークをカバーします。異なるリージョンまたはサブスクリプションに複数のプランは必要ありません。このプランは特定のリージョンで作成されますが、テナント内の任意のリージョン内の仮想ネットワークを保護します。

保護されたパブリック IP ごとに、1 か月あたりの DDoS IP 保護料金。プランは必要ありません。このオプションは、完全なプランのコストコミットメントなしで少数の IP に対する保護を強化する必要がある組織に適しています。ただし、DDoS IP Protection には、DDoS Rapid Response チームアクセス、コスト保護クレジット、Application Gateway WAF の課金割引は含まれません。

Application Gateway WAF の割引

Application Gateway を含む仮想ネットワークで DDoS ネットワーク保護を有効にすると、より高い WAF レートではなく、WAF コンポーネントの Application Gateway Standard v2 レートが支払われます。この割引は、DDoS IP Protection には適用されません。

設計上の考慮事項

DDoS 設計のフォーカスをリフトアンドシフトする

すべてのAzureパブリック IP をカバーする常時接続 DDoS インフラストラクチャ保護から始めて、インターネットに公開されているワークロードを含む仮想ネットワークに DDoS ネットワーク保護を階層化します。
すべてのサブネットではなく、リホストされた環境で通常公開される少数のパブリックエンドポイント（たとえば、単一の Web 層や VPN ゲートウェイ）を優先します。
テナントごとに 1 つのプランが、サブスクリプションとリージョン間のすべてのリンクされた仮想ネットワークを対象とするため、移行されたアプリケーションごとに個別のプランは必要ありません。
しきい値を厳しくする前に平常時のトラフィックのベースラインを確立できるよう、攻撃に関するテレメトリを早い段階で収集します。

DDoS 設計フォーカスを最新化する

Azure Front Door配信元、Application Gateway、パブリックロードバランサーに関連付けられているアプリなど、顧客向けのアプリのパブリック IP を保持する仮想ネットワークで DDoS ネットワーク保護を有効にします。
DDoS 保護を WAF と組み合わせる: 仮想ネットワークで DDoS ネットワーク保護が有効になっている場合、Application Gateway WAF コンポーネントは Standard v2 レートで課金されます。
アクティブ・アクティブマルチリージョン設計の場合、各リージョンのパブリックIPがカバーされているか確認してください。なぜなら、1つのテナントプランが任意のリージョンの仮想ネットワークを保護するからです。
DDoS のメトリックとアラートを運用監視に表示し、プラットフォームチームが他のネットワーク指標とあわせて攻撃を把握できるようにします。

クラウド間 DDoS 設計の焦点

セキュリティで保護されたVirtual WAN ハブ上のパブリック IP やインターネットに接続するゲートウェイなど、クロスクラウドおよびブランチトラフィックを終了するAzure側のイングレスを保護します。
仮想マシンにパブリック IP アドレスを直接割り当てず、代わりにワークロードの前段に Application Gateway または Front Door を配置して、それらのエンドポイントを保護します。
別のプランを作成するのではなく、クラウドの移行時に追加する新しいAzure リージョンに既存のテナントプランを拡張します。
複数のクラウドエッジにまたがる攻撃を関連付けることができるように、クラウド間監視に DDoS テレメトリを含めます。

前提条件

拡張 DDoS 保護を有効にする前に、次の機能があることを確認します。

パブリック IP アドレス: DDoS 保護は、Azureパブリック IP リソースに適用されます。パブリック IP のないリソースは、インターネットベースの DDoS 攻撃に公開されず、カバレッジは必要ありません。
仮想ネットワーク:仮想ネットワークレベルでDDoSネットワーク保護を有効にします。保護された仮想ネットワーク内のすべてのパブリックIPは自動的にカバーされます。
アクセス許可: DDoS プランを作成または管理するには、 Microsoft.Network/ddosProtectionPlans アクセス許可を持つネットワーク共同作成者ロールまたはカスタムロールが必要です。
テナントごとに1つのDDoSプラン(ネットワーク保護):単一のプランを作成し、保護されたパブリックIPを含む仮想ネットワークにリンクしてください。複数のサブスクリプションから仮想ネットワークを同じプランにリンクさせることができます。
Azure Monitor構成: DDoS メトリックと攻撃フローログをLog Analytics、Event Hubs、またはAzure Storageに送信して監視と保持を行う診断設定を構成します。
インシデント対応計画: エスカレーションパス、オンコール連絡先、コミュニケーションテンプレートなど、DDoS イベントに対するチームの対応手順を文書化します。 DDoS ネットワーク保護を使用する場合は、攻撃が発生する前に DDoS Rapid Response チームに登録してください。

セキュリティに関する考慮事項

次のセクションでは、DDoS 保護を他のAzureセキュリティサービスと階層化する方法と、攻撃を監視する方法について説明します。

Azure Firewallによる多層防御

DDoS 保護とAzure Firewallは異なるレイヤーで動作しますが、多層防御戦略で補完し合います。 DDoS 保護により、Azure ネットワークエッジでのボリューム攻撃が軽減され、トラフィックの洪水がインフラストラクチャを圧倒するのを防ぐことができます。 Azure Firewallは、DDoS フィルター処理で存続するトラフィックを検査し、アクセス制御、URL フィルター処理、脅威インテリジェンスのために詳細なアプリケーションとネットワークルールを適用します。

Azure FirewallのパブリックIPを含む仮想ネットワークでDDoS保護を有効にし、ファイアウォール自体をボリューメトリック攻撃から守ります。この保護がなければ、持続的な容積測定攻撃によってファイアウォールの容量が使い果たされ、ファイアウォールを介してルーティングされるすべてのサービスが中断される可能性があります。

パブリック IP カバレッジ

仮想ネットワークでDDoSネットワーク保護を有効にすると、その仮想ネットワーク内のすべてのパブリックIPは自動的に保護されます。リソースごとの構成は必要ありません。この対象範囲には、次のリソースに関連付けられたパブリック IP が含まれます:

Azure Firewall
Application Gateway と WAF
Azure Load Balancer (パブリック)
Azure Bastion
仮想マシンネットワークインターフェイス
VPN Gatewayと ExpressRoute ゲートウェイ (DDoS ポリシーによって保護されますが、アダプティブチューニングはサポートされていません)
Azure API Management (外部仮想ネットワークモード)

Note

プライベート IP のみを使用するリソースでは、DDoS 攻撃がパブリックエンドポイントをターゲットとするため、DDoS 保護は必要ありません。プライベートエンドポイントまたは内部ロードバランサーを介してのみワークロードにアクセスできる場合、インターネットから発生した帯域幅消費型攻撃には公開されません。

攻撃対応と監視

DDoS ネットワーク保護は、完全な攻撃の可視性と対応機能を提供します。

常時オン監視: プラットフォームは、DDoS 攻撃のインジケーターを 24 時間監視します。軽減策は、トラフィックが攻撃のしきい値を超えると自動的にアクティブになります。
攻撃分析: 攻撃中と攻撃後の詳細なフローレポート。5 分間の細分性と攻撃後の概要レポートが含まれます。
アラートの統合: 攻撃が開始、停止、または軽減策がアクティブになったときに、Azure Monitorを通じて構成可能なアラート。セキュリティ運用ワークフローのために SIEM と統合します。
DDoS Rapid Response (DRR):カスタム軽減チューニングのためのアクティブな攻撃中に、Microsoft DDoS 対応チームにアクセスします。ネットワーク保護でのみ使用できます。
コスト保護: 文書化された DDoS 攻撃によって引き起こされるコンピューティングとデータ転送のスケールアウトコストのサービスクレジット。ネットワーク保護でのみ使用できます。

Caution

コスト保護には、文書化された攻撃とサポート要求が必要です。クレジットは自動ではありません。攻撃が軽減された後に要求を提出し、DDoS 分析から攻撃の証拠を提供する必要があります。

関連するネットワーク設計ガイダンスを確認します。

Azure Firewallとトラフィック検査: DDoS 保護とファイアウォールトラフィック検査を組み合わせた多層防御。
インターネットイングレスサービスとパブリック向けサービス: 受信インターネットトラフィックの保護戦略。
ネットワークセキュリティグループとアプリケーションセキュリティグループ: 仮想ネットワーク内のマイクロセグメント化。
ハブスポークネットワークトポロジー:DDoS防護がハブ仮想ネットワークに適用される集中型セキュリティモデル。
Azureネットワークセキュリティとは?:Azure Firewall、DDoS保護、Web Application Firewallを比較する概要ハブです。

詳細情報

Azure DDoS Protection の詳細なドキュメントについては、以下を参照してください。

次のステップ

Tip

あなた自身で探検? 概要ナビゲーターに戻り、機能別に次の記事を見つけます。

リフトアンドシフト体験の次の手順:

移行されたネットワークの監視を設定する: DDoS 保護を有効にした後、接続とパフォーマンスを検証します。

次に、最新化の取り組みを行います。

DNS とプライベートの名前解決を構成する: パブリック DNS ゾーン、Front Door と Traffic Manager への CNAME マッピングを設定し、RBAC と DNSSEC を有効にします。

マルチクラウドへの移行における次のステップ:

クラウド間の監視を設定する: 公開する前に、クラウド間の資産の監視を確立します。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-08-19