Funzionalità di Protezione DDoS di Azure

Le sezioni seguenti descrivono le caratteristiche principali del servizio Protezione DDoS di Azure.

Monitoraggio continuo del traffico

Il servizio Protezione DDoS di Azure monitora l'utilizzo effettivo del traffico e lo confronta continuamente con le soglie definite nei criteri DDoS. Quando la soglia di traffico viene superata, viene avviata automaticamente la mitigazione DDoS. Quando il traffico torna sotto le soglie, la mitigazione viene interrotta.

Mentre viene applicata la mitigazione, il traffico verso la risorsa protetta viene reindirizzato dal servizio Protezione DDoS e vengono eseguiti diversi controlli, tra cui:

• Assicurarsi che i pacchetti siano conformi alle specifiche di Internet e non siano malformati.
• Interagire con il client per determinare se il traffico è stato potenzialmente falsificato, ad esempio usando una tecnica SYN Auth o SYN Cookie oppure eliminando un pacchetto in modo che l'origine lo trasmetta di nuovo.
• Limitare la velocità di trasmissione dei pacchetti, se non è possibile applicare nessun altro metodo.

Protezione DDoS di Azure rimuove il traffico degli attacchi e inoltra il traffico rimanente alla destinazione prevista. Entro pochi minuti dal rilevamento degli attacchi si riceve una notifica in base alle metriche di Monitoraggio di Azure. Configurando la registrazione sui dati di telemetria di Protezione DDoS, puoi scrivere i log nelle opzioni disponibili per l'analisi futura. I dati delle metriche di Monitoraggio di Azure per Protezione DDoS vengono mantenuti per 30 giorni.

Ottimizzazione adattiva in tempo reale

La complessità degli attacchi (ad esempio, attacchi DDoS multivettoriale) e i comportamenti specifici delle applicazioni dei tenant richiedono politiche di protezione personalizzate per ogni cliente. Il servizio soddisfa questa esigenza utilizzando due intuizioni:

• Apprendimento automatico dei modelli di traffico per cliente (per IP pubblico) per i livelli 3 e 4.

• Riduzione al minimo dei falsi positivi, considerando che la scalabilità di Azure consente di assorbire una quantità significativa di traffico.

Soglie di rilevamento personalizzate (anteprima)

Se il tuo carico di lavoro necessita di soglie di rilevamento fisse specifiche per protocollo invece di un auto-tuning adattivo, crea una policy personalizzata di protezione DDoS. Una policy personalizzata permette di impostare soglie in entrata TCP, UDP e TCP SYN, in pacchetti al secondo, per gli indirizzi IP frontend Load Balancer Standard. Quando imposti una soglia personalizzata per un protocollo, la regolazione automatica di quel protocollo viene disabilitata sulla risorsa protetta. Per maggiori informazioni, vedi Cos'è la policy personalizzata di Azure DDoS Protection?

Telemetria, monitoraggio e avvisi di Protezione DDoS

Protezione DDoS di Azure espone dati di telemetria avanzati tramite Monitoraggio di Azure. È possibile configurare gli avvisi per qualsiasi metrica di Monitoraggio di Azure usata da Protezione DDoS. È possibile integrare la registrazione con Splunk (Hub eventi di Azure), log di Monitoraggio di Azure e Archiviazione di Azure per l'analisi avanzata tramite l'interfaccia di diagnostica di Monitoraggio di Azure.

Criteri di mitigazione della protezione DDoS di Azure

Nel portale di Azure selezionare Monitoraggio>Metriche. Nel riquadro Metriche selezionare il gruppo di risorse, il tipo di risorsa Indirizzo IP pubblico e l'indirizzo IP pubblico di Azure. Le metriche DDoS sono visibili nel riquadro Metriche disponibili.

La protezione DDoS applica tre criteri di mitigazione configurati automaticamente (SYN TCP, TCP e UDP) a ogni IP pubblico della risorsa protetta nella rete virtuale in cui è abilitata DDoS. È possibile visualizzare le soglie dei criteri selezionando la metrica Inbound packets to trigger DDoS mitigation (Pacchetti in ingresso per attivare la mitigazione dei rischi DDoS).

Le soglie dei criteri vengono configurate automaticamente tramite la profilatura del traffico di rete basata su Machine Learning. La mitigazione dei rischi DDoS ha luogo per un indirizzo IP sotto attacco solo quando viene superata la soglia dei criteri.

Per maggiori informazioni, vedere Visualizzare e configurare i dati di telemetria di Protezione DDoS.

Metrica per un indirizzo IP sotto attacco DDoS

Se l'indirizzo IP pubblico è sotto attacco, il valore della metrica Under DDoS attack or not (Sotto attacco DDoS o no) passa a 1 quando Protezione DDoS esegue la mitigazione sul traffico di attacco.

È consigliabile configurare un avviso per questa metrica. Si riceverà quindi una notifica in caso di mitigazione DDoS attiva sull'indirizzo IP pubblico.

Per maggiori informazioni, vedere Gestire Protezione DDoS di Azure nel portale di Azure.

Web application firewall per attacchi alle risorse

Per gli attacchi specifici alle risorse a livello di applicazione, è necessario configurare un Web Application Firewall (WAF) per contribuire a proteggere le applicazioni Web. Un WAF ispeziona il traffico web in ingresso per bloccare iniezioni SQL, attacchi cross-site scripting, DDoS e altri attacchi Layer 7. Azure fornisce WAF (Web Application Firewall) come funzionalità del gateway applicazione per la protezione centralizzata delle applicazioni Web da exploit e vulnerabilità comuni. Sono disponibili altre offerte di WAF dei partner di Azure che potrebbero essere più adatte alle tue esigenze tramite Azure Marketplace.

Anche i Web application firewall sono vulnerabili agli attacchi volumetrici e a esaurimento di stato. È consigliabile attivare Protezione DDoS nella rete virtuale WAF per proteggere dagli attacchi volumetrici e di protocollo. Per maggiori informazioni, vedere la sezione Architetture di riferimento di Protezione DDoS di Azure.

Pianificazione della protezione

La pianificazione e la preparazione sono essenziali per comprendere come un sistema si comporterà durante un attacco DDoS. L'elaborazione di un piano di intervento per la gestione di eventi imprevisti rientra in questa attività.

Se è disponibile Protezione DDoS, assicurarsi che sia attivato nella rete virtuale degli endpoint con connessione Internet. La configurazione degli avvisi DDoS consente di monitorare costantemente eventuali attacchi all'infrastruttura.

Monitorare le applicazioni in modo indipendente. comprendere il comportamento normale di un'applicazione. Prepararsi ad agire se l'applicazione non si comporta come previsto durante un attacco DDoS.

Informazioni su come i servizi risponderanno a un attacco effettuando dei test tramite simulazioni DDoS.

Passaggi successivi

• Altre informazioni sulle architetture di riferimento.