Recursos de Proteção contra DDoS do Azure

As seções a seguir descrevem os principais recursos do serviço de Proteção contra DDoS do Azure.

Monitoramento de tráfego sempre ativo

A Proteção contra DDoS monitora a utilização de tráfego real e compara-a constantemente com os limites definidos na Política de DDoS. Quando esse limite de tráfego for excedido, a mitigação de DDoS será iniciada automaticamente. Quando o tráfego retorna para baixo do limite, a mitigação é interrompida.

Durante a mitigação, o tráfego enviado para o recurso protegido é redirecionado pelo serviço de Proteção contra DDoS e diversas verificações são executadas, como:

• Assegure que os pacotes estejam em conformidade com as especificações de Internet e não estejam malformados.
• Interaja com o cliente para determinar se o tráfego é potencialmente um pacote falsificado (por exemplo: Autenticação SYN ou Cookie SYN ou descartando um pacote para que a origem o retransmita).
• Aplique limite de taxa aos pacotes, se nenhum outro método de controle puder ser usado.

A Proteção contra DDoS remove o tráfego de ataque e encaminha o tráfego restante para o destino pretendido. Dentro de alguns minutos após a detecção do ataque, você é notificado utilizando as métricas do Azure Monitor. Ao configurar o registro em log na telemetria da Proteção contra DDoS, você pode gravar os logs de opções disponíveis para análise futura. Os dados de métrica no Azure Monitor para a Proteção contra DDoS são mantidos por 30 dias.

Ajuste adaptável em tempo real

A complexidade dos ataques (por exemplo, ataques DDoS multivetoriais) e os comportamentos específicos da aplicação dos locatários exigem políticas de proteção personalizadas por cliente. O serviço atende a essa necessidade utilizando dois insights:

• Aprendizado automático de padrões de tráfego por cliente (por IP público) das camadas 3 e 4.

• Minimizando falsos positivos, considerando que a escala do Azure permite que absorva uma quantidade significativa de tráfego.

Limiares de detecção personalizados (prévia)

Se sua carga de trabalho precisar de limiares fixos de detecção específicos de protocolo em vez de auto-tuning adaptativo, crie uma política personalizada de Proteção contra DDoS. Uma política personalizada permite definir limiares de entrada TCP, UDP e TCP SYN, em pacotes por segundo, para endereços IP frontend do Standard Load Balancer. Quando você define um limiar personalizado para um protocolo, o ajuste automático para esse protocolo é desativado no recurso protegido. Para mais informações, veja Qual é a política personalizada de Proteção DDoS do Azure?

Telemetria, monitoramento e alertas da Proteção contra DDoS

A Proteção contra DDoS do Azure disponibiliza telemetria detalhada por meio do Azure Monitor. Você pode configurar alertas para qualquer uma das métricas do Azure Monitor que a Proteção contra DDoS utiliza. Você pode integrar o registro em log ao Splunk (Hubs de Eventos do Azure), aos logs do Azure Monitor e ao Armazenamento do Azure para realizar análises avançadas por meio da interface de Diagnóstico do Azure Monitor.

Políticas de mitigação da Proteção contra DDoS do Azure

No portal do Azure, selecione Monitor>Métricas. No painel Métricas, selecione o grupo de recursos, o tipo de recurso do Endereço IP Público e o endereço IP público do Azure. As métricas de DDoS estão visíveis no painel de Métricas disponíveis.

A Proteção contra DDoS aplica três políticas de mitigação ajustadas automaticamente (TCP SYN, TCP e UDP) em cada IP público do recurso protegido na rede virtual que tem o DDoS habilitado. Exiba os limites da política selecionando a métrica Pacotes de entrada para disparar a mitigação de DDoS.

Os limites da política são configurados automaticamente por meio da criação de perfil de tráfego de rede baseado em aprendizado de máquina. A mitigação de DDoS ocorre para um endereço IP sob ataque somente quando o limite da política for excedido.

Para obter mais informações, consulte Exibir e configurar a telemetria da Proteção contra DDoS.

Métrica para um endereço IP sob ataque de DDoS

Se o endereço IP público estiver sob ataque, o valor da métrica Sob ataque de DDoS ou não mudará para 1 conforme a Proteção contra DDoS executa a mitigação do tráfego do ataque.

É recomendável configurar um alerta nessa métrica. Você será notificado quando houver uma mitigação de DDoS ativa executada no seu endereço IP público.

Para ver mais informações, consulte Gerenciar a Proteção contra DDoS do Azure usando o portal do Azure.

Firewall de aplicação web para ataques a recursos

Especificamente para ataques de recursos na camada de aplicativo, você deve configurar o WAF (Firewall do Aplicativo Web) para ajudar a proteger os aplicativos Web. O WAF inspeciona o tráfego de entrada da Web para bloquear injeções de SQL, scripts intersites, DDoS e outros ataques da camada 7. O Azure oferece o WAF como um recurso do Gateway de Aplicativo para a proteção centralizada de seus aplicativos web contra ataques e vulnerabilidades comuns. Há outras ofertas de WAF disponíveis de parceiros do Azure que podem ser mais adequadas às suas necessidades no Microsoft Azure Marketplace.

Mesmo os firewalls de aplicações web estão suscetíveis a ataques volumétricos e de esgotamento de estado. Nós recomendamos habilitar a Proteção contra DDoS em uma rede virtual WAF para ajudar a protegê-la contra ataques volumétricos e de protocolo. Para obter mais informações, consulte a seção Arquiteturas de referência da Proteção contra DDoS do Azure.

Planejamento da proteção

Planejamento e preparação são cruciais para entender como será o desempenho de um sistema durante um ataque de DDoS. Criar um plano de resposta de gerenciamento de incidentes faz parte desse esforço.

Caso você tenha a Proteção contra DDoS, certifique-se de que ela esteja habilitada na rede virtual dos pontos de extremidade voltados para a Internet. Configurar alertas de DDoS ajuda a manter um olhar constante sobre qualquer possível ataque à sua infraestrutura.

Monitore seus aplicativos de forma independente. Entenda o comportamento normal do aplicativo. Prepare-se para agir caso o aplicativo não esteja se comportando conforme o esperado durante um ataque de DDoS.

Saiba como seus serviços responderão a um ataque testando por meio de simulações de DDoS.

Próximas etapas

• Saiba mais sobre arquiteturas de referência.