Protection Azure contre les attaques DDoS et pare-feu

Une attaque par déni de service distribué (DDoS) submerge une cible — serveur, application ou réseau — sous un volume de trafic tel que les utilisateurs légitimes ne peuvent plus y accéder. Les attaquants utilisent des réseaux de zombies composés de milliers d'appareils compromis pour générer un trafic volumétrique dépassant la capacité de la cible. Les attaques DDoS vont de simples inondations volumétriques (amplification UDP) à des attaques de la couche applicative (inondations HTTP visant un point de terminaison précis).

Azure propose deux niveaux de protection DDoS. La DDoS Network Protection (Basic) — auparavant appelée DDoS Basic — est intégrée à la plateforme Azure et protège automatiquement toutes les adresses IP publiques Azure, sans coût supplémentaire. Elle atténue les attaques courantes de la couche réseau. La DDoS IP Protection et la DDoS Network Protection (Standard) ajoutent une surveillance permanente du trafic, un ajustement adaptatif propre à votre charge de travail, des équipes d'intervention rapide et une protection des coûts (crédits pour les ressources Azure consommées pendant une attaque).

DDoS Network Protection s'applique au niveau du réseau virtuel et couvre toutes les IP publiques associées aux ressources de ce VNet. Une fois la protection activée, elle surveille en continu les références du trafic pour chaque IP protégée et active automatiquement les pipelines d'atténuation lorsque des schémas d'attaque sont détectés — sans nécessiter de configuration de votre part. La SLA garantit une disponibilité de 99,99 % pendant une attaque faisant l'objet d'une atténuation.

Lorsque DDoS Network Protection est activée, Azure affiche dans Azure Monitor des métriques propres aux attaques DDoS, notamment Under DDoS attack or not, Inbound packets dropped DDoS et Inbound bytes forwarded to service (trafic légitime). Vous pouvez définir des alertes de métriques pour avertir votre équipe de sécurité lorsqu'une attaque commence et surveiller en temps réel l'efficacité de l'atténuation grâce aux tableaux de bord du portail Azure.

Azure Firewall est un service de sécurité réseau géré et cloud natif qui assure l'inspection et le contrôle centralisés du trafic réseau de vos VNets Azure. Contrairement aux groupes de sécurité réseau (NSG), qui sont de simples filtres de paquets à état au niveau du sous-réseau ou de la NIC, Azure Firewall est un pare-feu en tant que service entièrement à état, doté d'une haute disponibilité intégrée, d'une capacité illimitée et de fonctionnalités avancées, notamment le filtrage FQDN (autorisation ou refus selon le nom de domaine) et les flux de renseignements sur les menaces.

Azure Firewall est disponible dans trois SKU. Standard prend en charge le filtrage L3-L7, les règles fondées sur les FQDN, les règles réseau et applicatives, ainsi que les renseignements sur les menaces. Premium ajoute l'inspection TLS (déchiffrer, inspecter et rechiffrer le trafic HTTPS), l'IDPS (détection et prévention des intrusions) et le filtrage d'URL, pour offrir toutes les fonctionnalités d'un pare-feu nouvelle génération. Basic est une option moins coûteuse pour les scénarios SMB nécessitant des fonctions de filtrage plus simples.

Le modèle recommandé consiste à déployer Azure Firewall dans un VNet hub dédié et à y acheminer tout le trafic des VNets spoke à l'aide de routes définies par l'utilisateur (UDRs). Cette topologie hub-and-spoke crée un point de contrôle unique pour tout le trafic est-ouest (d'un VNet à l'autre) et nord-sud (à destination d'Internet), ce qui facilite l'application d'une stratégie de sécurité cohérente et la journalisation de tous les flux réseau par un seul service.

Azure Firewall traite trois types de règles selon leur ordre de priorité. Les règles NAT traduisent les IP publiques entrantes en IP privées de VNet (traduction d'adresses réseau de destination). Les règles réseau sont des filtres des couches 3 et 4 fondés sur l'IP source, l'IP de destination, le port et le protocole — ils autorisent ou refusent le trafic TCP/UDP brut. Les règles applicatives filtrent le trafic sortant selon des modèles d'URL HTTP/HTTPS et des FQDNs, ce qui permet de contrôler précisément les destinations Internet auxquelles les ressources peuvent accéder.

Azure Firewall s'intègre aux flux de Microsoft Threat Intelligence afin de générer automatiquement des alertes ou de refuser le trafic à destination ou en provenance d'adresses IP et de domaines connus pour être malveillants. Le flux est mis à jour en continu à partir du réseau mondial de détection des menaces de Microsoft. En mode Alert et Deny, le pare-feu bloque tout paquet à destination ou en provenance d'une IP malveillante connue avant l'évaluation de vos règles personnalisées, offrant ainsi une protection automatique contre les acteurs malveillants connus sans mise à jour manuelle des règles.

Les NSG et Azure Firewall sont complémentaires et tous deux nécessaires dans une stratégie de défense en profondeur. Les NSG sont des filtres de paquets légers et à état appliqués aux sous-réseaux et aux NIC — ils sont idéaux pour la microsegmentation au sein d'un VNet et n'autorisent que les ports nécessaires entre les niveaux. Azure Firewall fournit une inspection centralisée de la couche applicative, le filtrage FQDN, la journalisation et les renseignements sur les menaces dans tous les VNets — des fonctionnalités qui vont bien au-delà de ce que peuvent exprimer les règles NSG.

Azure Firewall Policy est une ressource ARM qui contient toutes les collections de règles (NAT, réseau et application) ainsi que les paramètres d'un ou plusieurs pare-feu. Azure Firewall Manager fournit une interface de gestion centralisée pour déployer et administrer les stratégies Firewall Policy sur plusieurs instances Azure Firewall et Virtual WAN à grande échelle. Les entreprises peuvent ainsi définir une stratégie de base commune et la transmettre à leurs déploiements régionaux de pare-feu, avec des remplacements locaux.

Testez votre compréhension des concepts Microsoft Azure Fundamentals (AZ-900) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : DDoS Network Protection surveille toutes les IP publiques des VNet et atténue automatiquement les attaques volumétriques, qu'Azure Firewall est un pare-feu à état géré avec filtrage FQDN et intégration des renseignements sur les menaces, et que la topologie hub-and-spoke centralise tout le trafic réseau via une seule instance Azure Firewall. Nous allons maintenant découvrir le fonctionnement de la tarification Azure.