HTTP DDoS ruleset in Azure Front Door WAF

Se aplica a: ✔️ Front Door Premium

Las inundaciones en la capa HTTP siguen siendo el factor más frecuente de incidentes de disponibilidad de aplicaciones, y los controles estáticos como filtros IP y geográficos o límites fijos de tasa a menudo no pueden seguir el ritmo de las botnets distribuidas. El conjunto de reglas HTTP DDoS es el modelo automatizado de protección de capa 7 de Azure Web Application Firewall (WAF) que aprende, detecta y defiende con una configuración mínima del usuario. Una vez asignado, el conjunto de reglas establece continuamente un valor de referencia del tráfico normal para cada perfil de Azure Front Door y, cuando se producen picos que indican un ataque, mitiga de forma selectiva el tráfico malicioso sin que sea necesario realizar ajustes de emergencia.

Cómo funciona el conjunto de reglas de DDoS HTTP

Una vez que el conjunto de reglas HTTP DDoS se aplica a una política adjunta a un perfil Azure Front Door Premium, las líneas base de tráfico se calculan mediante una ventana móvil. Para los perfiles que han recibido tráfico durante al menos 50% de los últimos siete días, el conjunto de reglas calcula líneas base y comienza a detectar picos en un plazo de 24 a 36 horas. Si el perfil de Front Door no ha recibido suficiente tráfico (menos del 50 % de los últimos siete días), el conjunto de reglas no detectará ni mitigará ataques hasta que haya suficiente tráfico para establecer líneas de base fiables.

Los umbrales de solicitud se aprenden en el nivel de perfil global. Si se asigna una sola directiva WAF configurada con el conjunto de reglas de DDoS HTTP a varios perfiles de Azure Front Door, los umbrales de tráfico se calculan por separado para cada perfil al que se adjunta la directiva.

El reglamento utiliza un diseño de dos etapas. Aprende un umbral global de perfil, además de umbrales más estrechos para direcciones IP individuales de clientes y, con las reglas geográficas, para cada país o región. Hasta que no se supera el umbral del perfil para las solicitudes, no se aplican los umbrales más estrechos. Este enfoque impide que el conjunto de reglas actúe sobre picos de tráfico de unos pocos clientes a menos que hagan que la tasa total de solicitudes en el perfil supere el umbral.

Cada regla del conjunto de reglas de DDoS HTTP ofrece tres niveles de confidencialidad, cada uno correspondiente a un umbral diferente. Una configuración de confidencialidad más alta aplica un umbral inferior para esa regla, mientras que una configuración de confidencialidad inferior aplica un umbral superior. El valor predeterminado y recomendado es la confidencialidad media.

Cuando asignas el conjunto de reglas, sus reglas están activadas por defecto con la acción Log y sensibilidad media. Revisa los registros y luego configura la acción de cada regla para que se adapte a tu aplicación.

El conjunto de reglas de DDoS HTTP es el primer conjunto de reglas evaluado por el WAF de Azure, incluso antes de las reglas personalizadas.

Importante

Las reglas personalizadas configuradas con la acción Permitir no omitirán el conjunto de reglas de DDoS HTTP, pero omitirán todas las demás inspecciones de WAF. Para excluir el tráfico de confianza del conjunto de reglas de DDoS HTTP, utilice excepciones.

El cuadro de penalización

Una vez superado el umbral del perfil, cualquier dirección IP de cliente que supere su umbral para la regla 500100 o 500110 se coloca en una lista de penalización. Mientras la dirección IP está en el periodo de penalización, el WAF aplica la acción configurada de la regla a sus solicitudes. Cuando termina el periodo de la caja de penalización, la dirección IP se evalúa normalmente de nuevo y vuelve a la caja de penalización si vuelve a superar su umbral.

Reglas del conjunto de reglas

El conjunto de reglas HTTP DDoS aparece como Microsoft_HTTPDDoSRuleSet_1.0 en las reglas gestionadas de tu política WAF y tiene cuatro reglas. Cada regla mantiene líneas base de tráfico separadas para el tráfico que cumple con sus criterios, y cada una es configurable con su propia sensibilidad y acción.

Identificador de regla Rule Qué se utiliza como referencia Status
500100 Anomalía detectada en una alta tasa de solicitudes de clientes Solicitudes procedentes de cada dirección IP de cliente Disponible con carácter general
500110 Sospecha de bots que envían una alta tasa de solicitudes Solicitudes desde direcciones IP que Microsoft Threat Intelligence clasifica como bots Disponible con carácter general
500310 Anomalía detectada en una alta tasa de solicitudes procedentes de zonas geográficas de origen con gran volumen Solicitudes de cada país/región de alto volumen Preview
500320 Anomalía detectada en una alta tasa de solicitudes procedentes de zonas geográficas de origen con bajo volumen Solicitudes combinadas de todos los demás países o regiones Preview

Regla 500100: Anomalía detectada en alta tasa de solicitudes de clientes: Esta regla rastrea y establece una línea base para todo el tráfico en el perfil al que está asociada una política. Cuando un cliente supera el umbral establecido, se desencadena la acción configurada correspondiente.

Regla 500110: Bots sospechosos de enviar una alta tasa de solicitudes: Esta regla permite establecer diferentes niveles de sensibilidad basados en el tráfico clasificado como bots por Microsoft Threat Intelligence. Para las solicitudes de las que se sospecha que sean bots, el umbral predeterminado es más estricto que el umbral predeterminado para todas las demás direcciones IP. Esta regla bloquea inmediatamente los bots clasificados como de alto riesgo cuando se supera el umbral de perfil global.

Las reglas 500310 y 500320 son las reglas geográficas, descritas en la siguiente sección.

Reglas geográficas (vista previa)

Importante

Las reglas geográficas del conjunto de reglas HTTP DDoS, las reglas 500310 y 500320, están actualmente en vista previa. El resto del conjunto de reglas HTTP DDoS está generalmente disponible. Consulte Términos de uso complementarios para las versiones preliminares de Microsoft Azure para conocer los términos legales que se aplican a las características de Azure que se encuentran en la versión beta, en versión preliminar o que todavía no se han publicado para que estén disponibles con carácter general.

Los umbrales por IP funcionan bien contra ataques en los que cada cliente envía un gran volumen de solicitudes. Son menos efectivos contra ataques altamente distribuidos, en los que una botnet reparte su tráfico por tantas direcciones IP que cada una queda por debajo de su propio umbral. Las reglas geográficas añaden una segunda capa de defensa que establece una línea base del tráfico por país/región en lugar de por cliente.

Cómo funcionan las reglas geo

La mayoría de las aplicaciones reciben la gran mayoría de su tráfico legítimo de un pequeño número de países o regiones de alto volumen. Las reglas geo usan ese patrón:

  • La Regla 500310 aprende un umbral separado para cada país o región de alto volumen.
  • La regla 500320 establece un umbral combinado para todos los demás países o regiones. Las solicitudes de todas estas fuentes de bajo volumen cuentan juntas para este umbral único.

Por ejemplo, supongamos que la mayor parte del tráfico de un perfil proviene de Estados Unidos, Australia y Francia. La regla 500310 aprende un umbral para cada una de esas tres, y la regla 500320 aprende un umbral para el tráfico combinado del resto de lugares. Durante un ataque, un pico procedente de Estados Unidos se compara con el umbral de EE. UU., mientras que un ataque disperso por muchas otras ubicaciones se compara con el umbral combinado.

Las reglas geográficas siguen el mismo diseño de dos etapas que el resto del conjunto de reglas: solo actúan después de que la tasa global de solicitudes del perfil supere su umbral aprendido. Cuando eso ocurre y la tasa de solicitud de un país o región de alto volumen supera su umbral, la regla 500310 aplica su acción a las solicitudes de ese país o región. Cuando la tasa combinada de solicitudes de todos los demás países o regiones supera su umbral, la regla 500320 aplica su acción a las solicitudes de todas esas fuentes de bajo volumen.

Ten en cuenta los siguientes comportamientos:

  • Las reglas geográficas aprenden sus líneas base de aproximadamente los últimos siete días de tráfico y las recalculan periódicamente, para que sigan los cambios en tu tráfico a lo largo del tiempo.
  • Los umbrales reflejan tu tráfico máximo en lugar de tu media, por lo que los picos diarios normales se mantienen por debajo de ellos.
  • Las solicitudes desde direcciones IP que no están mapeadas a un país o región se agrupan como país o región desconocido (ZZ) y se toman como referencia igual que cualquier otro país o región.
  • Si un perfil no tiene suficiente historial de tráfico para aprender líneas base fiables, las reglas geográficas no actúan para ese perfil.
  • Las reglas geográficas se evalúan después de la regla 500100. Los clientes que superan sus propios umbrales por IP son gestionados primero por la regla por IP, y las reglas geográficas actúan entonces sobre el tráfico distribuido que permanece por debajo de los umbrales por IP.

Elige acciones y sensibilidad para las reglas geo

Una regla geográfica actúa sobre el tráfico procedente de un país o región en su conjunto, no sobre clientes individuales. Cuando una regla geográfica coincide, su acción se aplica tanto a usuarios legítimos en ese país o región como al tráfico malicioso. Planifica eso antes de cambiar la acción por defecto:

  • Empieza con la acción Log. Las reglas geográficas están habilitadas de forma predeterminada con la acción Registro. Revisa los registros del tráfico normal y de cualquier pico antes de aplicarlas.
  • Es preferible realizar una verificación que un bloqueo. Un desafío de JavaScript permite que los navegadores legítimos pasen mientras detiene la mayoría de los clientes con script, lo que limita el efecto sobre usuarios reales en el país o región afectada.
  • Reducir la sensibilidad a los picos regionales esperados. Si esperas un aumento legítimo de un país o región concreta, por ejemplo durante una campaña regional o el lanzamiento de un producto, reduce la sensibilidad de la regla afectada antes del evento.

Excluir el tráfico de confianza del conjunto de reglas

Una regla personalizada con una acción de Permitir no elude el conjunto de reglas HTTP DDoS. Para que el tráfico conocido bueno, como sondas de salud, monitorización sintética, pruebas de carga o integraciones de socios, pueda eludir el conjunto de reglas, utiliza excepciones WAF. Puedes limitar el alcance de una excepción a una regla específica del conjunto de reglas de DDoS HTTP o a todo el conjunto de reglas, y basar la coincidencia en la dirección IP remota, el URI de la solicitud o un encabezado de la solicitud.

Limita el alcance de las excepciones lo máximo posible. Por ejemplo, si una herramienta de prueba de carga solo necesita exención de la regla 500100, no la eximas de las demás reglas del conjunto de reglas.

Supervisión del conjunto de reglas de DDoS HTTP

Las siguientes opciones de monitorización están disponibles para el conjunto de reglas HTTP DDoS:

  • Cuando una dirección IP supera por primera vez un umbral para la regla 500100 o 500110, se registra una entrada de registro para esa dirección IP con la acción de la regla, y se incrementa la métrica de coincidencia de la regla gestionada por WAF.
  • Puedes monitorizar las coincidencias de reglas utilizando la métrica de recuento de solicitudes de Web Application Firewall y filtrando por nombre de regla. Las coincidencias de reglas Geo se registran bajo los IDs de reglas 500310 y 500320.
  • La métrica Web Application Firewall HTTPDDoSRuleset Is Active tiene un valor de 1 una vez que el conjunto de reglas ha completado el aprendizaje y está listo para actuar sobre el tráfico que supere los umbrales aprendidos.

Contenido relacionado

  • Se actualizó por última vez el