本文提供在 Azure 上建構 DDoS 韌性服務的最佳實務。 利用本指南，透過 Azure DDoS 防護保護您的應用程式，涵蓋層級選擇、安全設計、可擴展性、多層防禦、監控、測試及回應規劃等多方面。
選擇合適的保障等級
Azure DDoS Protection 提供兩層級以滿足不同保護需求：
- DDoS IP 保護：為少量的公共 IP 位址提供每個 IP 的保護。 最適合需要核心 DDoS 防護但沒有進階功能的小型部署。
- DDoS 網路保護：強化虛擬網路資源保護，新增功能包括 DDoS 快速反應（DRR）、成本保護保證及網頁應用防火牆（WAF）折扣。
根據公共 IP 資源數量、DDoS 快速反應支援的需求，以及成本保護需求來評估您的需求。 關於兩層級功能、限制及價格的詳細比較，請參見 About Azure DDoS 防護層級比較。
安全性設計
優先確保應用程式整個生命週期中的安全性，從設計和實作到部署與作業。 應用程式可能會有錯誤，導致相對較少的請求量卻使用過多資源，導致服務中斷。
要保護你的 Azure 服務：
- 了解你的應用程式架構：聚焦 軟體品質的五大支柱。 了解你的典型流量量、你的應用程式與其他應用程式之間的連接模型，以及暴露於公共網際網路的服務端點。
- 針對阻斷服務的規劃：確保應用程式具備足夠的韌性，能應對針對應用層的阻斷服務，例如HTTP泛濫。
- 應用安全開發實務：安全與隱私已內建於Azure平台，始於安全開發生命週期（SDL）。 SDL 在每個開發階段都涵蓋安全議題，並確保 Azure 持續更新，使其更加安全。
請遵循Azure安全基準 ：檢視 DDoS 防護的Azure 安全基線 以使您的配置符合 Microsoft雲端安全基準 。
延展性設計
延展性是指系統能夠處理負載增加的能力。 將您的應用程式設計為可水平調整以滿足放大負載的需求，遭遇 DDoS 攻擊時尤其需要。 如果您的應用程式相依於服務的單一執行個體，它會建立單一失敗點。 佈建多個執行個體可讓系統更有彈性且更具延展性。
請考慮以下可擴展性策略：
- Azure App 服務：選擇提供多個實例的 App Service 方案。 設定自動縮放規則，根據 CPU 使用率或請求數等指標自動擴展。
- Azure 虛擬機器：確保您的虛擬機架構包含多個虛擬機，且每個虛擬機都包含在可用性集合中。 使用 虛擬機器擴展集 來實現自動縮放功能。
- 快取與負載分配：使用Azure Front Door進行全域負載平衡、SSL 卸載及靜態內容快取。 快取可減輕後端資源負擔，並減少流量激增的影響。
- Azure Load Balancer：將流量分散到多個實例，避免單一資源被淹沒。
關於常見工作負載類型的推薦 DDoS 防護架構，請參閱 DDoS 防護參考架構。
實施多層防禦
縱深防禦策略利用多層安全措施來降低成功攻擊的風險。 利用 Azure 平台內建的功能，為你的應用程式實作安全設計。
減少攻擊面
透過減少公共可接觸的接觸面積來降低暴露：
- 使用 Azure Private Link 透過虛擬網路中的私有端點存取Azure PaaS 服務，消除公共網際網路的風險。
- 使用允許清單來限制負載平衡器不需要的暴露 IP 位址空間和監聽埠（Azure Load Balancer 和 Azure 應用程式閘道）。
- 使用 網路安全群組（NSG） 來限制流量。
- 利用 服務標籤 與 應用程式安全群組 來簡化建立安全規則，並將網路安全設定為應用程式結構的自然延伸。
- 盡可能將Azure服務部署在虛擬網路中，使服務資源透過私有IP位址進行通訊。 利用 服務端點切換服務流量，將虛擬網路私有位址作為來源 IP。
保護網路層（L3/L4）
Azure DDoS 防護提供針對網路層（L3/L4）體積、協定及資源層攻擊的自動防護。 主要功能包括：
- 全天候流量監控：DDoS 防護監控您的應用程式流量模式，以偵測異常。 當流量超過門檻時，保護系統會自動啟動。
- 自適應即時調整：DDoS 防護會隨時間分析您的應用程式流量，並選擇最適合您服務的緩解配置檔。
- Azure 防火牆 整合：在虛擬網路中結合 Azure 防火牆 與 DDoS 防護，提供額外的網路層過濾與威脅情報。 架構指引請參見 Azure 防火牆 及 DDoS Protection 參考架構。
保護應用層（L7）
Azure DDoS Protection 專注於網路層（L3/L4）攻擊。 針對應用層（L7）攻擊，如 HTTP 洪水和 Slowloris 攻擊，可將 DDoS 防護與網頁應用防火牆（WAF）結合使用：
- 在Azure Front Door或Azure 應用程式閘道上部署Azure Web 應用程式防火牆，以防禦L7攻擊。
- 使用 WAF 自訂的速率限制規則，自動偵測並阻擋惡意流量。
- 啟用 機器人保護 以封鎖已知惡意機器人。
- 使用 地理過濾 來限制那些你預期不會有合法用戶的區域流量。
如需詳細的應用層 DDoS 防禦策略指引，請參閱 應用 DDoS 防護。
整合 Microsoft Sentinel
使用 Azure DDoS 解決方案用於 Microsoft Sentinel 以識別違規 DDoS 來源，將攻擊資料與其他安全事件相關聯，並防止攻擊者轉向其他攻擊類型，如資料外洩。
保護混合環境
如果你是將本地環境連接到 Azure，盡量減少本地資源暴露於公共網際網路。 利用 Azure 的規模性與先進 DDoS 防護能力，部署您知名的公共實體於 Azure 中。 由於這些公開可存取的實體常成為 DDoS 攻擊的目標，將它們置於 Azure 中可減少對本地資源的影響。
配置監控與警示
建立監控與警示，以快速偵測 DDoS 攻擊並了解您的防護狀態：
- 設定指標警示：針對關鍵的 DDoS 防護指標建立警示，例如 是否受到 DDoS 攻擊、入站封包因 DDoS 而被丟棄，以及 入站 SYN 封包以觸發 DDoS 緩解措施。 警報會在偵測到攻擊時立即通知你。 有關逐步說明，請參閱 配置 Azure DDoS Protection 指標警示。
- View 適用於雲端的 Microsoft Defender 中的警示：DDoS 防護會在偵測到攻擊時自動向適用於雲端的 Microsoft Defender發送緩解警示。 使用 適用於雲端的 Defender 來取得統一的 DDoS 警報視圖，並列其他安全警報。 欲了解更多資訊，請參閱查看Azure DDoS防護警示，適用於雲端的 Microsoft Defender。
- 啟用診斷日誌：啟用診斷日誌以擷取 DDoS 緩解報告、流量日誌及通知。 利用這些日誌進行攻擊後分析與合規稽核。
- 檢視DDoS防護遙測資料：利用指標與診斷日誌了解攻擊期間的流量模式，並評估緩解措施的成效。 如需詳細監控指引，請參見 Monitor Azure DDoS 防護。
- 監控應用程式效能：使用 Azure 應用程式 Insights來監控你的網頁應用程式並偵測效能異常。 了解應用程式的正常行為，有助於你在 DDoS 攻擊中辨識降級情況。 詳細指引請參閱 DDoS應對策略。
測試並驗證你的保護
定期測試你的 DDoS 防護，以驗證你的應用程式和警示在攻擊時是否如預期般運作：
- 執行模擬測試：使用Microsoft核准的測試夥伴模擬針對Azure端點的 DDoS 攻擊。 模擬有助於驗證您的防護設定、警報設定及應變程序。
- 檢視測試結果：模擬後，檢視 DDoS 防護指標與診斷日誌，以確認緩解政策是否正確觸發。
關於測試夥伴、前置條件及逐步說明，請參見「 透過模擬測試」。
規劃您的DDoS應對策略
在攻擊發生前建立明確的應變計畫，以確保快速且有效的回應：
- 建立 DDoS 應變團隊：指派負責協調攻擊回應的團隊成員。 邀請來自網路、應用及營運團隊的成員參與。
- 啟動DDoS快速反應（DRR）：透過 DDoS網路保護，您可以在主動攻擊時與 DDoS快速反應團隊 互動，進行調查及攻擊後分析。
- 記錄與排練：製作執行手冊、定義升級路徑，並排練對 DDoS 攻擊的回應。 定期檢視並更新你的應對計畫。
如需建立應變策略的詳細指引，請參閱 DDoS 應變策略。