HTTP DDoS ruleset in Azure Front Door WAF

Van toepassing op: ✔️ Front Door Premium

HTTP-laag floods blijven de meest voorkomende oorzaak van incidenten met applicatiebeschikbaarheid, en statische controles zoals IP- en geofilters of vaste snelheidslimieten kunnen vaak niet gelijke tred houden met gedistribueerde botnets. De HTTP DDoS-regelset is het geautomatiseerde laag 7-beschermingsmodel van Azure Web Application Firewall (WAF) dat leert, detecteert en verdedigt met minimale gebruikersconfiguratie. Eenmaal toegewezen, stelt de regelset continu een basislijn vast voor het normale verkeer voor elk Azure Front Door-profiel en, wanneer pieken een aanval aangeven, wordt het schadelijke verkeer selectief gemitigeerd zonder noodafstemming.

Hoe de HTTP DDoS-regelset werkt

Zodra de HTTP DDoS-regelset is toegepast op een beleid dat is gekoppeld aan een Azure Front Door Premium-profiel, worden verkeersbaselines berekend met behulp van een rolling window. Voor profielen die minstens 50% van de afgelopen zeven dagen verkeer hebben ontvangen, berekent het regelsysteem de basislijnen en begint het binnen 24 tot 36 uur pieken te detecteren. Als het Front Door-profiel niet voldoende verkeer heeft ontvangen (minder dan 50% van de afgelopen zeven dagen), zal de regelset aanvallen niet detecteren of beperken totdat er voldoende verkeer aanwezig is om betrouwbare baselines vast te stellen.

Drempelwaarden voor aanvragen worden geleerd op het niveau van het globale profiel. Als één WAF-beleid dat is geconfigureerd met de HTTP DDoS-regelset wordt toegewezen aan meerdere Azure Front Door-profielen, worden de drempelwaarden voor verkeer afzonderlijk berekend voor elk profiel waaraan het beleid is gekoppeld.

De regelset gebruikt een ontwerp in twee fasen. Er wordt een globale profieldrempel bepaald, plus smallere drempels voor individuele client-IP-adressen en, met de geo-regels, voor elk land/regio. Totdat de profieldrempel voor verzoeken wordt overschreden, worden de smallere drempels niet afgedwongen. Deze aanpak voorkomt dat de regelset ingrijpt op verkeerspieken van enkele clients, tenzij deze de totale verzoeksnelheid over het profiel boven de drempel brengen.

Elke regel in de HTTP DDoS-regelset biedt drie gevoeligheidsniveaus, die elk overeenkomen met een andere drempelwaarde. Een instelling voor een hogere gevoeligheid past een lagere drempelwaarde toe voor die regel, terwijl een instelling voor een lagere gevoeligheid een hogere drempelwaarde toepast. De standaardinstelling en aanbevolen instelling is gemiddelde gevoeligheid.

Wanneer je de regelset toewijst, worden de regels standaard ingeschakeld met de Log-actie en gemiddelde gevoeligheid. Bekijk de logs en stel vervolgens de actie van elke regel zo in dat deze past bij jouw toepassing.

De HTTP DDoS-regelset is de eerste regelset die door de Azure WAF wordt geëvalueerd, zelfs vóór de aangepaste regels.

Het strafvak

Zodra de profieldrempel wordt overschreden, wordt elk client-IP-adres dat de drempel voor regel 500100 of 500110 overschrijdt, in een strafbox geplaatst. Zolang het IP-adres in de strafperiode zit, past de WAF de door de regel geconfigureerde actie toe op zijn verzoeken. Wanneer de strafboxperiode eindigt, wordt het IP-adres opnieuw normaal geëvalueerd en keert het terug naar de penaltybox als het opnieuw de drempel overschrijdt.

Regels voor regelsets

De HTTP DDoS-regelset verschijnt als Microsoft_HTTPDDoSRuleSet_1.0 in de beheerde regels van je WAF-beleid en heeft vier regels. Elke regel onderhoudt aparte verkeersbaselines voor het verkeer dat aan zijn criteria voldoet, en elke regel is configureerbaar met zijn eigen gevoeligheid en actie.

Regel 500100: Anomalie gedetecteerd bij een hoog aantal clientverzoeken: Deze regel volgt en stelt een basislijn vast voor al het verkeer op het profiel waaraan een beleid is gekoppeld. Wanneer een client de vastgestelde drempelwaarde overschrijdt, wordt de bijbehorende geconfigureerde actie geactiveerd.

Regel 500110: Vermoedelijke bots die een hoog aantal verzoeken sturen: Deze regel stelt je in staat verschillende gevoeligheidsniveaus in te stellen op basis van verkeer dat door Microsoft Threat Intelligence als bots wordt geclassificeerd. Voor verdachte bots is de standaarddrempelwaarde strenger dan de standaarddrempelwaarde voor alle andere IP-adressen. Bots die als hoog risico worden geclassificeerd, worden onmiddellijk door deze regel geblokkeerd wanneer de drempelwaarde voor het globale profiel wordt overschreden.

Regels 500310 en 500320 zijn de geo-regels, beschreven in de volgende sectie.

Geo-regels (preview)

Per-IP drempels werken goed tegen aanvallen waarbij elke client een groot volume verzoeken stuurt. Ze zijn minder effectief tegen sterk verspreide aanvallen, waarbij een botnet zijn verkeer over zoveel IP-adressen verspreidt dat elk adres onder zijn eigen drempel blijft. De geo-regels voegen een tweede verdedigingslaag toe die het verkeer per land/regio als basis neemt in plaats van per client.

Hoe de geo-regels werken

De meeste applicaties ontvangen de overgrote meerderheid van hun legitieme verkeer uit een klein aantal landen of regio's met een groot volume. De geo-regels gebruiken dat patroon:

• Regel 500310 stelt een afzonderlijke drempel vast voor elk land of elke regio met een hoog volume.
• Regel 500320 hanteert één gecombineerde drempel voor elk ander land of regio. Verzoeken van al deze bronnen met weinig volume tellen samen mee voor deze enkele drempel.

Stel bijvoorbeeld dat het grootste deel van het verkeer van een profiel afkomstig is uit de Verenigde Staten, Australië en Frankrijk. Regel 500310 leert een drempel voor elk van die drie, en regel 500320 leert één drempel voor het gecombineerde verkeer van overal elders. Tijdens een aanval wordt een piek uit de Verenigde Staten gemeten tegen de Amerikaanse drempel, terwijl een aanval die dun verspreid is over veel andere locaties wordt gemeten tegen de gecombineerde drempel.

De geo-regels volgen hetzelfde tweefasenontwerp als de rest van de regelset: ze treden pas in werking nadat de totale aanvraagsnelheid van het profiel de geleerde drempel overschrijdt. Wanneer dat gebeurt en het aanvraagpercentage van een land of regio met een hoog volume de drempel overschrijdt, past regel 500310 zijn actie toe op verzoeken uit dat land of die regio. Wanneer het gecombineerde verzoekpercentage van alle andere landen of regio's de drempel overschrijdt, past regel 500320 zijn actie toe op verzoeken van al die bronnen met een laag volume.

Houd de volgende gedragingen in gedachten:

• De georegels leren hun basislijnen op basis van ongeveer de afgelopen zeven dagen aan verkeer en berekenen deze periodiek opnieuw, zodat ze veranderingen in je verkeer in de loop van de tijd volgen.
• Drempels weerspiegelen je piekverkeer in plaats van je gemiddelde verkeer, dus normale dagelijkse pieken blijven daaronder.
• Verzoeken van IP-adressen die niet aan een land of regio zijn gekoppeld, worden gegroepeerd als Onbekend land of regio (ZZ) en gebaselineerd zoals elk ander land of regio.
• Als een profiel niet genoeg verkeersgeschiedenis heeft om betrouwbare baselines te leren, nemen de georegels geen actie voor dat profiel.
• De geo-regels worden geëvalueerd na regel 500100. Clients die hun eigen per-IP-drempels overschrijden, worden eerst behandeld door de per-IP-regel, waarna de geo-regels handelen op gedistribueerd verkeer dat onder de per-IP-drempels blijft.

Kies acties en gevoeligheid voor de geo-regels

Een geo-regel is van toepassing op verkeer vanuit een land of regio als geheel, niet op individuele klanten. Wanneer een geo-regel overeenkomt, geldt deze actie ook voor legitieme gebruikers in dat land of regio en voor aanvalsverkeer. Plan daarvoor voordat je de standaardactie verandert:

• Begin met de Log-actie. De geo-regels zijn standaard ingeschakeld met de Log-actie. Bekijk de logs over normaal verkeer en eventuele pieken voordat je deze toepast.
• Geef de voorkeur aan een uitdaging boven een blokkade. Een JavaScript-uitdaging laat legitieme browsers door terwijl de meeste gescripte clients worden tegengehouden, wat het effect op echte gebruikers in het getroffen land of regio beperkt.
• Verlaag de gevoeligheid voor verwachte regionale pieken. Als je een legitieme toename verwacht van een bepaald land of regio, bijvoorbeeld tijdens een regionale campagne of productlancering, verlaag dan de gevoeligheid van de getroffen regel vóór het evenement.

Zonder vertrouwd verkeer uit van de regelset

Een aangepaste regel met een Toelaat-actie omzeilt de HTTP DDoS-regelset niet. Om bekend veilig verkeer zoals health probes, synthetische monitoring, belastingtests of partnerintegraties de regelset te laten omzeilen, gebruik WAF-uitzonderingen. Je kunt een uitzondering toepassen op een specifieke regel in de HTTP DDoS-regelset of op de hele regelset, en matchen op het externe IP-adres, de verzoek-URI of een verzoekheader.

Beperk uitzonderingen zo smal mogelijk. Als een load-testing tool bijvoorbeeld alleen vrijstelling van regel 500100 nodig heeft, stel het dan niet vrij van de andere regels in de regelset.

De HTTP DDoS-regelset bewaken

De volgende monitoringsopties zijn beschikbaar voor de HTTP DDoS-regelset:

• Wanneer een IP-adres voor het eerst een drempel voor regel 500100 of 500110 overschrijdt, wordt er een logboekvermelding voor dat IP-adres geregistreerd met de actie van de regel, en wordt de door WAF beheerde regel Match-metriek verhoogd.
• Je kunt regelovereenkomsten monitoren door gebruik te maken van de Web Application Firewall Request count-metriek en filteren op regelnaam. Geo-regelovereenkomsten worden geregistreerd onder regel-ID's 500310 en 500320.
• De Web Application Firewall HTTPDDoSRuleset Is Active-metriek heeft een waarde van 1 zodra de regelset het leerproces heeft voltooid en klaar is om actie te ondernemen tegen verkeer dat de geleerde drempels overschrijdt.

Verwante inhoud

• Applicatie (laag 7) DDoS-bescherming
• Azure Front Door WAF-lijst met uitzonderingen
• Beleidsinstellingen voor Azure Front Door WAF
• Beheerde regels voor Azure Front Door WAF
• Aangepaste regels voor Azure Front Door WAF
• Azure Web Application Firewall JavaScript-uitdaging