適用対象: ✔️ Application Gateway V2
Important
Azure Application Gateway Web Application Firewall(WAF)v2のMicrosoft HTTP DDoSルールセットは現在プレビュー中です。 ベータ版、プレビュー版、または一般提供としてまだリリースされていない Azure の機能に適用される法律条項については、「Microsoft Azure プレビューの追加使用条件」を参照してください。
HTTP層のフラッドはアプリケーションの可用性問題の最も一般的な原因であり、静的制御(IPやジオフィルタ、固定レート制限)は分散型ボットネットに追いつきにくいことが多いです。 新しい HTTP DDoS ルールセットは、最小限のユーザー構成で学習、検出、防御を行う Azure Web Application Firewall (WAF) の最初の自動レイヤー 7 保護モデルです。 割り当てられると、ルールセットはアプリケーション ゲートウェイごとに通常のトラフィックを継続的にベースライン化し、急増が攻撃を示す場合は、緊急チューニングを必要とせず、問題のあるクライアントを選択的にブロックします。
HTTP DDoS ルールセットのしくみ
ゲートウェイにアタッチされているポリシーに HTTP DDoS ルールセットが適用されると、トラフィック ベースラインが少なくとも 24 時間学習されます。 ルールセットは、24 時間の学習フェーズが完了するまで攻撃を検出またはブロックしません。
要求のしきい値は、グローバル ゲートウェイ レベルで学習されます。 HTTP DDoS ルールセットで構成された 1 つの WAF ポリシーが複数のゲートウェイに割り当てられている場合、トラフィックのしきい値は、ポリシーがアタッチされているゲートウェイごとに個別に計算されます。
HTTP DDoS ルールセットは、グローバル ゲートウェイのしきい値と個々の IP ベースのしきい値の両方を学習します。 IP ベースのしきい値は、要求のグローバル ゲートウェイのしきい値を超えた場合にのみ適用されます。 ゲートウェイのしきい値に違反すると、学習されたベースラインを超える IP アドレスがペナルティ ボックスに配置されます。 この設計により、ゲートウェイへの要求レートの合計がしきい値を超えない場合に、ルールセットが個々の IP アドレスからのスパイクをブロックすることを防ぎます。
HTTP DDoS ルール セット内の各ルールには、それぞれ異なるしきい値に対応する 3 つの感度レベルが用意されています。 感度を高く設定すると、そのルールのしきい値が低くなりますが、感度の低い設定ではより高いしきい値が適用されます。 中程度の感度が既定で推奨される設定です。
HTTP DDoS ルールセットは、カスタム 規則より前であっても、Azure WAF によって評価される最初のルールセットです。
Important
許可アクションで構成されたカスタムルールは、HTTP DDoS ルールセットをバイパスしませんが、他のすべての WAF 検査をバイパスします。
ルールセットの規則
HTTP DDoSルールセットには現在2つのルールがあります。 ルールごとに異なる感度やアクション設定を設定できます。 各ルールは、ルールの条件に一致するトラフィックに対して異なるトラフィック ベースラインを保持します。
ルール 500100: 高レートのクライアント要求で異常が検出されました。 このルールは、ポリシーがアタッチされている Application Gateway 上のすべてのトラフィックのベースラインを追跡して確立します。 クライアントが設定された閾値を超えると、そのクライアントはペナルティボックスに入れられ、定められた時間(15分)ブロックされます。
ルール500110:高いリクエスト率を送る疑わしいボット:このルールは、Microsoft脅威インテリジェンスに基づく疑わしいボットからのトラフィックの基準を追跡・確立します。 通常、このトラフィックのしきい値は、ルール 500100 のトラフィックのしきい値よりもはるかに厳しくなります。 ボットのリクエストが設定された閾値を超えると、ボットはペナルティボックスに入れられ、定められた時間(15分)ブロックされます。 高リスクとして分類されたボットは、グローバル ゲートウェイのしきい値に違反すると、この規則によって直ちにブロックされます。
ペナルティ ボックス
クライアントからのトラフィックがHTTP DDoSルールセットのいずれかのルールの閾値を超えると、クライアントは一定期間(15分)ペナルティボックスに入れられ、その間にWAFはクライアントIPをブロックします。 ペナルティボックスの時間が終了すると、IPは再び閾値を超えない限りサイトにアクセスできます。その場合は再びペナルティボックスに戻ることになります。
IP アドレスがしきい値を超えると、HTTP DDoS ルールセットのルール ヒットがログに記録され、その IP がペナルティ ボックスに配置されます。 その IP がペナルティ ボックス内にある間の追加のブロックはログに記録されません。
HTTP DDoS ルールセットの監視
- IPアドレスが閾値を超えると、WAFはHTTP DDoSルールセットの ブロック アクションを記録し、WAFマネージドルールマッチメトリックを1増加させます。 ペナルティボックス内のIPからのブロックされたリクエストごとに、WAFマネージドルールマッチメトリックが増加します。
- Azure Monitorは、ペナルティボックスサイズとペナルティボックスブロックの2つの新しい指標を導入しました。 これらのメトリックは、ペナルティ ボックスに現在含まれている IP の数と、ペナルティ ボックス内の IP が原因で発生したブロックの数を追跡します。
制限事項
プレビュー中は、特定のIPアドレスからのトラフィックに対してDDoSルールセットやペナルティボックスを回避できません。