Ochrona przed atakami DDoS w usłudze Azure Front Door

Azure Front Door to usługa Content Delivery Network (CDN), która pomaga chronić źródła przed atakami DDoS HTTP(S) przez dystrybucję ruchu w 192 punktach dostępowych na całym świecie. Te dostawcy pops używają dużej prywatnej sieci WAN platformy Azure do szybszego i bezpieczniejszego dostarczania aplikacji internetowych i usług użytkownikom końcowym. Usługa Azure Front Door obejmuje ochronę przed atakami DDoS warstwy 3, 4 i 7 oraz zaporę aplikacji internetowych (WAF), aby chronić aplikacje przed typowymi exploitami i lukami w zabezpieczeniach.

Ochrona przed atakami DDoS infrastruktury

Usługa Azure Front Door korzysta z domyślnej ochrony przed atakami DDoS infrastruktury platformy Azure. Ta ochrona monitoruje i ogranicza ataki warstwy sieciowej w czasie rzeczywistym przy użyciu globalnej skali i pojemności sieci Azure Front Door. Jest to sprawdzony rekord ochrony przedsiębiorstwa i usług konsumenckich firmy Microsoft przed atakami na dużą skalę.

Blokowanie protokołu

Usługa Azure Front Door obsługuje tylko protokoły HTTP i HTTPS i wymaga prawidłowego Host nagłówka dla każdego żądania. To zachowanie pomaga zapobiegać typowym typom ataków DDoS, takim jak ataki wolumetryczne, które używają różnych protokołów i portów, ataków wzmacniania DNS i ataków zatrucia TCP.

Absorpcja pojemności

Azure Front Door to globalnie rozproszona usługa, która obsługuje wielu klientów, w tym własne produkty w chmurze firmy Microsoft, które obsługują setki tysięcy żądań na sekundę. Umieszczona na krawędzi sieci platformy Azure usługa Azure Front Door może przechwytywać i izolować geograficznie duże ataki, uniemożliwiając złośliwemu ruchowi dotarcie poza krawędź sieci platformy Azure.

Buforowanie

Użyj funkcji Azure Front Door caching aby chronić zaplecza przed dużymi ilościami ruchu generowanymi przez atak. Azure Front Door węzły brzegowe zwracają buforowane zasoby, więc nie przekazują tych zasobów do zaplecza. Nawet krótkie czasy wygaśnięcia cache'u (w sekundach lub minutach) odpowiedzi dynamicznych mogą znacznie zmniejszyć obciążenie usług backendowych. Aby uzyskać więcej informacji na temat pojęć i wzorców buforowania, zobacz Rozważania dotyczące buforowania i Wzorzec buforowania z pominięciem.

Zapora aplikacji internetowej

Użyj Azure Web Application Firewall (WAF) aby chronić przed różnymi typami ataków:

  • Zestaw reguł zarządzanych chroni aplikację przed wieloma typowymi atakami. Aby uzyskać więcej informacji, zobacz Reguły zarządzane.
  • Blokowanie lub przekierowywanie ruchu z określonych regionów geograficznych do statycznej strony internetowej. Aby uzyskać więcej informacji, zobacz Filtrowanie geograficzne.
  • Blokuj adresy IP i zakresy zidentyfikowane jako złośliwe. Aby uzyskać więcej informacji, zobacz Ograniczenia IP.
  • Zastosuj ograniczanie szybkości, aby zapobiec zbyt częstemu wywoływaniu usługi przez adresy IP. Aby uzyskać więcej informacji, zobacz Ograniczanie szybkości.
  • Utwórz niestandardowe reguły WAF, aby automatycznie blokować i wprowadzać ograniczenia na ataki HTTP lub HTTPS o znanych sygnaturach.
  • Zestaw reguł zarządzanych przez ochronę botów chroni aplikację przed znanymi złymi botami. Aby uzyskać więcej informacji, zobacz Konfigurowanie ochrony bota.

Aby uzyskać wskazówki dotyczące używania zapory aplikacji internetowej Azure do ochrony przed atakami DDoS, zobacz Ochrona aplikacji przed DDoS.

Ochrona źródeł sieci wirtualnej

Włącz usługę Azure DDoS Protection w sieci wirtualnej pochodzenia, aby chronić publiczne adresy IP przed atakami DDoS. Ta usługa oferuje więcej korzyści, takich jak ochrona kosztów, gwarancja UMOWY SLA i dostęp do zespołu DDoS Rapid Response Team w celu uzyskania pomocy ekspertów podczas ataku.

Zwiększ bezpieczeństwo źródeł hostowanych na platformie Azure przy użyciu usługi Azure Private Link , aby ograniczyć dostęp do usługi Azure Front Door. Ta funkcja ustanawia prywatne połączenie sieciowe między usługą Azure Front Door i serwerami aplikacji, eliminując konieczność uwidocznienia źródeł w publicznym Internecie.

Treści powiązane

  • Last updated on