Zestaw reguł HTTP DDoS w usłudze Azure Front Door WAF

Dotyczy: ✔️ Front Door Premium

Floody na warstwie HTTP pozostają najczęstszą przyczyną incydentów związanych z dostępnością aplikacji, a statyczne mechanizmy kontroli, takie jak filtry IP i geograficzne czy stałe limity liczby żądań, często nie nadążają za rozproszonymi botnetami. Zestaw reguł HTTP DDoS to zautomatyzowany model ochrony warstwy 7 Azure Web Application Firewall (WAF), który uczy się, wykrywa i broni przy minimalnej konfiguracji użytkownika. Po przypisaniu zestaw reguł nieprzerwanie ustala poziom bazowy normalnego ruchu dla każdego profilu Azure Front Door i, gdy skoki ruchu wskazują na atak, selektywnie łagodzi szkodliwy ruch bez potrzeby awaryjnego strojenia.

Jak działa zestaw reguł DDoS protokołu HTTP

Po zastosowaniu zestawu reguł HTTP DDoS do polityki przypisanej do profilu Azure Front Door Premium, linie bazowe ruchu są obliczane za pomocą okna ruchomego. Dla profili, które otrzymały ruch przez co najmniej 50% z ostatnich siedmiu dni, zestaw reguł oblicza wartości bazowe i zaczyna wykrywać skoki w ciągu 24–36 godzin. Jeśli profil Front Door nie otrzymał wystarczającego ruchu (mniej niż 50% z ostatnich siedmiu dni), zestaw reguł nie wykryje ani nie złagodzi ataków, dopóki nie pojawi się wystarczający ruch, by ustalić wiarygodne punkty bazowe.

Progi żądań są poznane na poziomie profilu globalnego. Jeśli do wielu profilów usługi Azure Front Door przypisano pojedynczą politykę WAF skonfigurowaną przy użyciu zestawu reguł HTTP DDoS, progi ruchu są obliczane oddzielnie dla każdego profilu, do którego przypisano tę politykę.

Zestaw zasad wykorzystuje dwuetapową konstrukcję. Uczy się globalnego progu profilu, plus węższych progów dla indywidualnych adresów IP klientów i, wraz z regułami geograficznymi, dla każdego kraju/regionu. Dopóki próg profilu żądań nie zostanie przekroczony, węższe progi nie są egzekwowane. Takie podejście zapobiega reagowaniu zestawu reguł na skoki ruchu od kilku klientów, chyba że spowodują one przekroczenie progu przez łączny wskaźnik żądań w całym profilu.

Każda reguła w zestawie reguł DDoS HTTP oferuje trzy poziomy poufności, z których każda odpowiada innej wartości progowej. Wyższe ustawienie czułości stosuje niższy próg dla tej reguły, podczas gdy niższe ustawienie czułości stosuje wyższy próg. Domyślne i zalecane ustawienie to średnia czułość.

Gdy przypisujesz zestaw reguł, jego reguły są domyślnie włączone z akcją Log i średnią czułością. Przejrzyj logi, a następnie ustaw działanie każdej reguły tak, aby pasowało do twojej aplikacji.

Zestaw reguł DDoS protokołu HTTP jest pierwszym zestawem reguł ocenianym przez zaporę aplikacji internetowej platformy Azure, nawet przed regułami niestandardowymi.

Ważne

Wszelkie niestandardowe reguły skonfigurowane z akcją Allow nie ominą zestawu reguł HTTP DDoS, ale ominą wszystkie inne inspekcje WAF. Aby zwolnić zaufany ruch z zestawu reguł HTTP DDoS, użyj exceptions.

Pole karne

Po przekroczeniu progu profilu każdy adres IP klienta przekraczający próg reguły 500100 lub 500110 trafia do strefy kary. Gdy adres IP znajduje się na liście karnej, WAF stosuje skonfigurowaną akcję reguły do jego żądań. Po zakończeniu okresu blokady adres IP jest ponownie normalnie oceniany i wraca do blokady, jeśli ponownie przekroczy próg.

Reguły zestawu reguł

Zestaw reguł HTTP DDoS pojawia się jako Microsoft_HTTPDDoSRuleSet_1.0 w zarządzanych regułach twojej polityki WAF i ma cztery reguły. Każda reguła utrzymuje oddzielne linie bazowe ruchu dla ruchu spełniającego jej kryteria, a każda jest konfigurowalna z własną czułością i działaniem.

Identyfikator reguły Rule Co stanowi punkt odniesienia Status
500100 Wykryta anomalia przy wysokiej częstotliwości żądań klientów Żądania z każdego adresu IP klienta Ogólnie dostępne
500110 Podejrzane boty wysyłające dużą liczbę żądań Żądania z adresów IP, które Microsoft Threat Intelligence klasyfikuje jako boty Ogólnie dostępne
500310 Wykryto anomalię przy wysokiej liczbie żądań z regionów geograficznych o dużym wolumenie Żądania z każdego kraju/regionu o dużym natężeniu Preview
500320 Wykryto anomalię przy wysokiej częstotliwości żądań z regionów geograficznych o niskim wolumenie Połączone prośby ze wszystkich pozostałych krajów/regionów Preview

Reguła 500100: Wykryto anomalię przy wysokim wskaźniku żądań klientów: Ta reguła śledzi i ustanawia punkt odniesienia dla całego ruchu na profilu, do którego przypisana jest polityka. Gdy klient przekroczy ustalony próg, zostanie wyzwolona odpowiednia skonfigurowana akcja.

Reguła 500110: Podejrzewane boty wysyłające wysoki wskaźnik żądań: Ta zasada pozwala ustawić różne poziomy wrażliwości na podstawie ruchu sklasyfikowanego jako boty przez Microsoft Threat Intelligence. W przypadku podejrzanych botów domyślny próg jest bardziej rygorystyczny niż domyślny próg dla wszystkich innych adresów IP. Boty sklasyfikowane jako wysokie ryzyko są natychmiast blokowane przez tę regułę, gdy przekroczony zostanie globalny próg profilu.

Zasady 500310 i 500320 to zasady geograficzne, opisane w następnej sekcji.

Reguły geolokalizacji (zapowiedź)

Ważne

Reguły geograficzne w zestawie HTTP DDoS, reguły 500310 i 500320, są obecnie w podglądzie. Pozostała część zestawu reguł HTTP DDoS jest już ogólnie dostępna. Zobacz dodatkowe warunki użytkowania dla wersji zapoznawczych platformy Microsoft Azure, aby zapoznać się z postanowieniami prawnymi dotyczącymi funkcji platformy Azure, które są w wersji beta, wersji zapoznawczej lub w inny sposób nie zostały jeszcze wydane w wersji ogólnodostępnej.

Per-IP progi sprawdzają się dobrze w przypadku ataków, w których każdy klient wysyła dużą liczbę żądań. Są mniej skuteczne przeciwko silnie rozproszonym atakom, w których botnet rozprasza swój ruch na tyle adresów IP, że każdy z nich pozostaje w granicach własnego progu. Zasady geograficzne dodają drugą warstwę obrony, która ustanawia linię bazową ruchu według kraju/regionu, a nie według klienta.

Jak działają zasady geo

Większość aplikacji otrzymuje zdecydowaną większość swojego prawidłowego ruchu z niewielkiej liczby krajów lub regionów o dużym natężeniu ruchu. Zasady geo wykorzystują ten wzorzec:

  • Reguła 500310 uczy się osobnego progu dla każdego kraju lub regionu o dużym natężeniu ruchu.
  • Reguła 500320 uczy się jednego łącznego progu dla każdego innego kraju lub regionu. Żądania ze wszystkich tych źródeł o niskim wolumenie liczą się razem do tego jednego progu.

Na przykład, załóżmy, że większość ruchu na profilu pochodzi ze Stanów Zjednoczonych, Australii i Francji. Reguła 500310 uczy się progu dla każdego z tych trzech, a reguła 500320 uczy się jednego progu dla łącznego ruchu z pozostałych miejsc. Podczas ataku nagły wzrost ruchu ze Stanów Zjednoczonych jest mierzony względem progu USA, natomiast atak rozproszony na wiele innych miejsc jest mierzony względem łącznego progu.

Reguły geograficzne stosują ten sam dwuetapowy projekt co reszta zestawu reguł: działają dopiero wtedy, gdy ogólna częstotliwość żądań profilu przekroczy wyuczony próg. Gdy tak się dzieje, a częstotliwość żądań z kraju lub regionu o dużym wolumenie przekracza próg, reguła 500310 stosuje swoje działanie do żądań z tego kraju lub regionu. Gdy łączna częstotliwość żądań z każdego innego kraju lub regionu przekracza ustalony próg, reguła 500320 stosuje swoje działania do wszystkich tych źródeł o niskim wolumenie.

Pamiętaj o następujących zachowaniach:

  • Zasady geograficzne uczą się swoich wartości bazowych na podstawie ruchu z około ostatnich siedmiu dni i okresowo ponownie obliczają te wartości bazowe, aby śledzić zmiany ruchu w czasie.
  • Progi odzwierciedlają Twój szczytowy ruch, a nie średnią, więc normalne dzienne szczyty pozostają poniżej nich.
  • Żądania z adresów IP, które nie są przypisane do kraju lub regionu, są grupowane jako Nieznany kraj lub region (ZZ) i uwzględniane w linii bazowej jak każdy inny kraj lub region.
  • Jeśli profil nie ma wystarczającej historii ruchu, aby wyznaczyć wiarygodne wartości bazowe, zasady geograficzne nie podejmują działań dla tego profilu.
  • Zasady geograficzne są oceniane po zasadzie 500100. Klienci, którzy przekroczą własne progi na adres IP, są najpierw obsługiwani przez regułę na adres IP, a następnie reguły geolokalizacyjne działają na ruch rozproszony, który pozostaje poniżej progów na adres IP.

Wybierz akcje i czułość dla reguł geograficznych

Reguła geo dotyczy ruchu z kraju lub regionu jako całości, a nie pojedynczych klientów. Gdy reguła geograficzna ma zastosowanie, jej działanie dotyczy zarówno legalnych użytkowników w danym kraju lub regionie, jak i ruchu związanego z atakiem. Zaplanuj to, zanim zmienisz domyślną akcję:

  • Zacznij od akcji Log (Log action). Domyślnie są włączone reguły geo z akcją Log. Przejrzyj logi dotyczące normalnego ruchu i ewentualnych skoków, zanim zaczniesz je egzekwować.
  • Wybierz wyzwanie zamiast bloku. Wyzwanie JavaScript pozwala prawidłowym przeglądarkom przejść, jednocześnie zatrzymując większość klientów obsługiwanych przez skrypty, co ogranicza wpływ na rzeczywistych użytkowników w dotkniętym kraju lub regionie.
  • Obniż czułość na spodziewane regionalne skoki. Jeśli spodziewasz się uzasadnionego nagłego wzrostu ruchu z danego kraju lub regionu, na przykład podczas kampanii regionalnej lub wprowadzenia produktu na rynek, obniż wrażliwość danej reguły przed wydarzeniem.

Wyklucz zaufany ruch z zestawu reguł

Niestandardowa reguła z akcją Allow nie omija zestawu zasad HTTP DDoS. Aby zezwolić zaufanemu ruchowi, takiemu jak sondy zdrowotne, syntetyczne monitorowanie, testy obciążenia czy integracje partnerskie, na omijanie zestawu reguł, użyj wyjątków WAF. Możesz określić wyjątek dla konkretnej reguły w zestawie HTTP DDoS lub całego zestawu reguł i dopasować go do zdalnego adresu IP, URL żądania lub nagłówka żądania.

Ogranicz zakres wyjątków tak bardzo, jak to możliwe. Na przykład, jeśli narzędzie do testów obciążeniowych potrzebuje jedynie zwolnienia od reguły 500100, nie zwalniaj go z pozostałych reguł w zestawie zasad.

Monitorowanie zestawu reguł DDoS protokołu HTTP

Dostępne są następujące opcje monitorowania dla zestawu reguł HTTP DDoS:

  • Gdy adres IP po raz pierwszy przekracza próg reguły 500100 lub 500110, rejestrowany jest wpis w logu dla tego adresu IP wraz z akcją reguły, a metryka Match zarządzanej reguły WAF jest zwiększana.
  • Możesz monitorować dopasowania reguł, używając metryki Web Application Firewall Request count i filtrując według nazwy reguły. Dopasowania zasad geograficznych są rejestrowane pod ID reguł 500310 i 500320.
  • Metryka Web Application Firewall HTTPDDoSRuleset Is Active ma wartość 1, gdy zestaw reguł zakończy naukę i jest gotowy do działania na ruch, który przekracza wyuczone progi.

Treści powiązane

  • Ostatnia aktualizacja o