阻絕服務攻擊策略
Microsoft 防禦基於網路的分散式阻斷服務 (DDoS) 攻擊的策略是獨一無二的，因為它在全球佔地面積很大。 此使用量可讓 Microsoft 使用大多數其他組織無法存取的策略和技術。 此外，Microsoft 還貢獻並借鑒了廣泛的威脅情報網絡所匯總的集體知識，其中包括 Microsoft 合作夥伴和更廣泛的互聯網安全社區。 這些情報以及從線上服務和 Microsoft 全球客戶群收集的資訊，不斷改進 Microsoft 的 DDoS 防禦系統，以保護所有 Microsoft 線上服務資產。
Microsoft DDoS 策略的基石是其全球影響力。 Microsoft與世界各地的互聯網提供商、公共和私營) (對等互連提供商以及私營公司合作。 這種參與為 Microsoft 提供了重要的互聯網影響力，並使其能夠吸收大面積的攻擊。
隨著 Microsoft 的邊緣容量隨著時間的推移而增長，針對單個邊緣的攻擊的重要性已大大減弱。 由於這種減少，Microsoft 已將其 DDoS 防護系統的檢測和緩解組件分開。 Microsoft 在區域數據中心部署多級檢測系統，以檢測接近其飽和點的攻擊，同時在邊緣節點維護全域緩解。 此策略可確保 Microsoft 服務可以處理多個同時攻擊。
Microsoft 針對 DDoS 攻擊使用的最有效且成本最低的防禦措施之一是減少服務攻擊面。 不需要的流量會在網路邊緣丟棄，而不是內嵌分析、處理和清理資料。
在與公網的介面上，Microsoft使用專用的安全設備進行防火牆、網路位址轉換和IP過濾功能。 Microsoft還使用全域等價多路徑 (ECMP) 路由。 全域ECMP路由是一種網路框架，可確保多個全域性路徑到達服務。 由於每個服務都有多個路徑，因此 DDoS 攻擊僅限於攻擊的來源區域。 其他區域不會受到攻擊的影響，因為使用者會使用其他路徑來連線到這些區域中的服務。 Microsoft 還開發了內部 DDoS 關聯和檢測系統，該系統使用流量數據、性能指標和其他信息來快速檢測 DDoS 攻擊。
為了進一步保護雲端服務，Microsoft 使用 Azure DDoS 防護，這是內建於 Microsoft Azure 持續監控和滲透測試程式中的 DDoS 防禦系統。 Azure DDoS 防護不僅旨在抵禦外部攻擊，還旨在抵禦來自其他 Azure 租戶的攻擊。 Azure 會使用標準偵測和風險降低技術，例如 SYN Cookie、速率限制和連線限制，來防範 DDoS 攻擊。 為了支援自動化保護，跨工作負載 DDoS 事件回應團隊會識別跨團隊的角色和職責、升級標準，以及受影響團隊的事件處理協定。
大多數針對目標發起的 DDoS 攻擊都是在 開放系統互連 (OSI) 模型的網路 (L3) 和傳輸 (L4) 層。 針對 L3 和 L4 層的攻擊會用攻擊流量淹沒網路介面或服務，以壓垮資源並拒絕回應合法流量的能力。 為了防範 L3 和 L4 攻擊，Microsoft 的 DDoS 解決方案使用來自數據中心路由器的流量採樣數據來保護基礎設施和客戶目標。 網路監控服務會分析流量取樣資料以偵測攻擊。 偵測到攻擊時，自動化防禦機制會啟動以減輕攻擊，並確保針對一個客戶的攻擊流量不會導致附帶損害或降低其他客戶的網路服務品質。
Microsoft 也採取進攻性方法進行 DDoS 防禦。 殭屍網路是進行 DDoS 攻擊以放大攻擊並保持匿名的常見命令和控制來源。 DCU (Microsoft 數位犯罪部門) 專注於識別、調查和破壞惡意軟體分發和通訊基礎設施，以減少殭屍網路的規模和影響。
應用程式層級防禦
Microsoft 的雲端服務是有意建置來支援高負載，這有助於防範應用程式層級的 DDoS 攻擊。 Microsoft 的橫向擴展架構將服務分佈在多個全球數據中心，並具有區域隔離和相關工作負載特定節流功能。
每個客戶的國家或地區 （客戶的系統管理員在服務初始設定期間識別） 會決定該客戶資料的主要儲存位置。 客戶資料會根據主要/備份策略在備援資料中心之間複寫。 主要資料中心會裝載應用程式軟體，以及軟體上執行的所有主要客戶資料。 備份資料中心提供自動容錯移轉。 如果主要資料中心因任何原因停止運作，要求會重新導向至備份資料中心中的軟體和客戶資料複本。 在任何指定時間，客戶資料都可能在主要或備份資料中心中處理。 在多個資料中心之間散發資料可減少受影響的介面區域，以防一個資料中心受到攻擊。 此外，受影響資料中心中的服務可以快速重新導向至次要資料中心，以在攻擊期間維持可用性，並在攻擊緩解後重新導向回主要資料中心。
作為針對 DDoS 攻擊的另一種緩解措施，個別工作負載包含管理資源使用率的內建功能。 例如，Exchange Online 和 SharePoint Online 中的節流機制是防禦 DDoS 攻擊的多層方法的一部分。
Azure SQL 資料庫具有額外的安全性層，採用稱為 DoSGuard 的閘道服務形式，可根據 IP 位址追蹤失敗的登入嘗試。 如果達到從相同 IP 嘗試登入失敗的閾值，DoSGuard 會在預定的時間內封鎖該位址。