HTTP DDoS ruleset in Azure Front Door WAF

Gäller för: ✔️ Front Door Premium

HTTP-floodattacker är fortfarande den vanligaste orsaken till incidenter som påverkar applikationstillgänglighet, och statiska kontroller som IP- och geofilter eller fasta frekvensgränser kan ofta inte hänga med i distribuerade botnät. HTTP DDoS-regelverket är Azure Web Application Firewall:s (WAF) automatiserade lager 7-skyddsmodell som lär sig, upptäcker och skyddar med minimal användarkonfiguration. När regelsystemet har tilldelats fastställer regelsystemet kontinuerligt en baslinje för normal trafik för varje Azure Front Door-profil och, när trafiktoppar indikerar en attack, begränsar det selektivt skadlig trafik utan behov av nödjustering.

Så här fungerar HTTP DDoS-regeluppsättningen

När HTTP DDoS-regeluppsättningen tillämpas på en policy kopplad till en Azure Front Door Premium-profil, beräknas trafikbaslinjer med hjälp av ett rullande fönster. För profiler som har fått trafik i minst 50 % av de senaste sju dagarna beräknar regeluppsättningen baslinjevärden och börjar upptäcka toppar inom 24 till 36 timmar. Om Front Door-profilen inte har fått tillräckligt med trafik (mindre än 50 % av de senaste sju dagarna) kommer regeluppsättningen inte att upptäcka eller begränsa attacker förrän tillräckligt med trafik finns för att etablera tillförlitliga baslinjer.

Tröskelvärden för begäranden lärs in på global profilnivå. Om en enskild WAF-princip som konfigurerats med HTTP DDoS-regeluppsättningen tilldelas flera Azure Front Door-profiler beräknas trafiktrösklar separat för varje profil som principen är kopplad till.

Regelverket använder en tvåstegsdesign. Den lär sig en global profiltröskel, plus snävare tröskelvärden för individuella klient-IP-adresser och, med georeglerna, för varje land/region. Förrän profiltröskeln för förfrågningar överskrids upprätthålls inte de snävare trösklarna. Denna metod förhindrar att regelsystemet agerar på trafiktoppar från några klienter om de inte orsakar att den totala förfrågningsfrekvensen i hela profilen överstiger tröskeln.

Varje regel i HTTP DDoS-regeluppsättningen erbjuder tre känslighetsnivåer som var och en motsvarar ett annat tröskelvärde. En högre känslighetsinställning tillämpar ett lägre tröskelvärde för den regeln, medan en lägre känslighetsinställning tillämpar ett högre tröskelvärde. Standardinställningen och den rekommenderade inställningen är medelhög känslighet.

När du tilldelar regelsystemet aktiveras dess regler med åtgärden Log och medelhög känslighet som standard. Gå igenom loggarna och ställ sedan in varje regels åtgärd för att passa din applikation.

HTTP DDoS-regeluppsättningen är den första regeluppsättningen som utvärderas av Azure WAF, även före de anpassade reglerna.

Viktigt!

Alla anpassade regler konfigurerade med Tillåt-åtgärden kommer inte att kringgå HTTP DDoS-regeluppsättningen, men kommer att kringgå alla andra WAF-inspektioner. För att undanta betrodd trafik från HTTP DDoS-regelsystemet, använd undantag.

Utvisningsbåset

När profiltröskeln har passerats placeras alla klient-IP-adresser som överskrider dess tröskel för regel 500100 eller 500110 i en penalty box. Medan IP-adressen finns i straffrutan tillämpar WAF regelns konfigurerade åtgärd på dess förfrågningar. När straffboxperioden är slut utvärderas IP-adressen normalt igen, och den återvänder till straffboxen om den överskrider sin tröskel igen.

Regler för regeluppsättning

HTTP DDoS-regeluppsättningen visas som Microsoft_HTTPDDoSRuleSet_1.0 i de hanterade reglerna för din WAF-policy och har fyra regler. Varje regel upprätthåller separata trafikbaslinjer för trafiken som uppfyller dess kriterier, och varje regel kan konfigureras med sin egen känslighet och åtgärd.

Regel-ID Regel Vad det baseras på Status
500100 Avvikelse upptäckt vid hög andel klientbegäranden Förfrågningar från varje klient-IP-adress Allmänt tillgängligt
500110 Misstänkta botar skickar hög frekvens av förfrågningar Förfrågningar från IP-adresser som Microsoft Threat Intelligence klassificerar som botar Allmänt tillgängligt
500310 En avvikelse har upptäckts på grund av en hög frekvens av förfrågningar från källregioner med hög volym Förfrågningar från alla länder/regioner med hög volym Preview
500320 Avvikelse upptäckt vid en hög frekvens av begäranden från källgeografier med låg volym Kombinerade förfrågningar från vart och ett av de andra länderna/regionerna Preview

Regel 500100: Avvikelse upptäckt vid hög frekvens av klientförfrågningar: Denna regel spårar och fastställer en baslinje för all trafik på den profil som en policy är kopplad till. När en klient överskrider det etablerade tröskelvärdet utlöses motsvarande konfigurerade åtgärd.

Regel 500110: Misstänkta botar skickar hög frekvens av förfrågningar: Denna regel tillåter dig att sätta olika känslighetsnivåer baserat på trafik som klassificeras som botar av Microsoft Threat Intelligence. För misstänkta robotar är standardtröskelvärdet striktare än standardtröskelvärdet för alla andra IP-adresser. Robotar som klassificeras som hög risk blockeras omedelbart av den här regeln när tröskelvärdet för global profil överskrids.

Reglerna 500310 och 500320 är georeglerna, beskrivna i nästa avsnitt.

Georegler (förhandsvisning)

Viktigt!

Georeglerna i HTTP DDoS-regeluppsättningen, reglerna 500310 och 500320, är för närvarande i förhandsvisning. Resten av HTTP DDoS-regeluppsättningen är allmänt tillgänglig. Se kompletterande användningsvillkor för Microsoft Azure Previews för juridiska villkor som gäller för Azure-funktioner som är i betaversion, förhandsversion eller på annat sätt ännu inte har släppts i allmän tillgänglighet.

Per-IP trösklar fungerar bra mot attacker där varje klient skickar en stor mängd förfrågningar. De är mindre effektiva mot mycket spridda attacker, där ett botnät sprider sin trafik över så många IP-adresser att varje adress ligger under sin egen gräns. Georeglerna lägger till ett andra försvarslager som fastställer en baslinje för trafiken per land/region istället för per klient.

Hur georeglerna fungerar

De flesta applikationer får den stora majoriteten av sin legitima trafik från ett fåtal högvolymsländer eller regioner. Georeglerna använder det mönstret:

  • Regel 500310 lär sig en separat tröskel för varje högvolymsland eller region.
  • Regel 500320 fastställer en kombinerad tröskel för varje annat land eller region. Förfrågningar från alla dessa lågvolymskällor räknas tillsammans mot denna enda tröskel.

Till exempel, anta att det mesta av en profils trafik kommer från USA, Australien och Frankrike. Regel 500310 lär sig en tröskel för var och en av dessa tre, och regel 500320 lär sig en tröskel för den samlade trafiken från alla andra håll. Under en attack mäts en ökning från Förenta staterna mot USA:s tröskel, medan en attack som är tunt spridd över många andra platser mäts mot den sammanlagda tröskeln.

Georeglerna följer samma tvåstegsdesign som resten av regeluppsättningen: de verkar endast efter att profilens totala förfrågningsfrekvens överskridit dess inlärda tröskel. När det sker och förfrågningsfrekvensen från ett land eller en region med hög volym överskrider dess tröskel, tillämpar regel 500310 sin åtgärd på förfrågningar från det landet eller den regionen. När den sammanlagda förfrågningsfrekvensen från alla andra länder eller regioner överskrider dess tröskel, tillämpar regel 500320 sin åtgärd på förfrågningar från alla dessa lågvolymskällor.

Tänk på följande beteenden:

  • Georeglerna lär sig sina baslinjer från ungefär de senaste sju dagarnas trafik och räknar om dem regelbundet, så att de följer förändringar i din trafik över tid.
  • Trösklarna speglar din topptrafik snarare än ditt genomsnitt, så normala dagliga toppar ligger under dem.
  • Förfrågningar från IP-adresser som inte är kopplade till ett land eller en region grupperas som Okänt land eller region (ZZ) och jämförs på samma sätt som vilket annat land eller en region som helst.
  • Om en profil inte har tillräcklig trafikhistorik för att lära sig tillförlitliga baslinjer, vidtar georeglerna inga åtgärder för den profilen.
  • Georeglerna utvärderas efter regel 500100. Klienter som överskrider sina egna tröskelvärden per IP hanteras först av regeln per IP, och georeglerna agerar sedan på distribuerad trafik som håller sig under tröskelvärden per IP.

Välj åtgärder och känslighet för geo-reglerna

En georegel påverkar trafik från ett land eller en region som helhet, inte enskilda klienter. När en georegel matchar gäller dess åtgärd för legitima användare i det landet eller regionen samt för attacktrafik. Planera för det innan du ändrar standardåtgärden:

  • Börja med Logg-åtgärden. Geo-reglerna aktiveras som standard med Logg-åtgärden. Gå igenom loggarna över normal trafik och eventuella toppar innan du tillämpar dem.
  • Föredra en utmaning framför en blockering. En JavaScript-utmaning släpper igenom legitima webbläsare samtidigt som den stoppar de flesta skriptade klienter, vilket begränsar effekten på verkliga användare i det drabbade landet eller regionen.
  • Sänk känsligheten för förväntade regionala toppar. Om du förväntar dig en legitim ökning från ett visst land eller region, till exempel under en regional kampanj eller produktlansering, sänk känsligheten för den berörda regeln innan händelsen.

Undanta tillförlitlig trafik från regeluppsättningen

En anpassad regel med en Tillåt-åtgärd kringgår inte HTTP DDoS-regelsystemet. För att låta känd och betrodd trafik som hälsoprober, syntetisk övervakning, belastningstester eller partnerintegrationer kringgå regelsystemet, använd WAF-undantag. Du kan avgränsa ett undantag för en specifik regel i HTTP DDoS-regelverket eller för hela regelsystemet, och matcha på fjärr-IP-adressen, begärans-URI eller en begäranderubrik.

Begränsa undantagen så snävt som möjligt. Till exempel, om ett lasttestningsverktyg bara behöver undantag från regel 500100, undanta det inte från de andra reglerna i regeluppsättningen.

Övervaka HTTP DDoS-regeluppsättningen

Följande övervakningsalternativ finns tillgängliga för HTTP DDoS-regeluppsättningen:

  • När en IP-adress först överskrider ett tröskelvärde för regel 500100 eller 500110, registreras en loggpost för den IP-adressen med regelns åtgärd, och mätvärdet Match för WAF-hanterade regler inkrementeras.
  • Du kan övervaka regelmatchningar genom att använda Web Application Firewall Request count-metrik och filtrera efter regelnamn. Geo-regelmatcher registreras under regel-ID:n 500310 och 500320.
  • Web Application Firewall HTTPDDoSRuleset Is Active har värdet 1 när regelsystemet har slutfört inlärning och är redo att agera på trafik som bryter mot de inlärda tröskelvärdena.

Relaterat innehåll

  • Uppdaterades senast