Azure DDoS Protection e Firewall

Un attacco Distributed Denial of Service (DDoS) sommerge un obiettivo — un server, un'applicazione o una rete — con una quantità di traffico tale da impedire l'accesso agli utenti legittimi. Gli aggressori utilizzano botnet composte da migliaia di dispositivi compromessi per generare traffico volumetrico superiore alla capacità dell'obiettivo. Gli attacchi DDoS spaziano dai semplici attacchi volumetrici (amplificazione UDP) agli attacchi a livello applicazione (flood HTTP rivolti a un endpoint specifico).

Azure offre due livelli di protezione DDoS. DDoS Network Protection (Basic) — precedentemente denominato DDoS Basic — è integrato nella piattaforma Azure e protegge automaticamente tutti gli indirizzi IP pubblici di Azure senza costi aggiuntivi. Mitiga gli attacchi comuni a livello di rete. DDoS IP Protection e DDoS Network Protection (Standard) aggiungono il monitoraggio continuo del traffico, la regolazione adattiva specifica del carico di lavoro, team di risposta rapida e la protezione dei costi (crediti per le risorse Azure utilizzate durante un attacco).

DDoS Network Protection viene applicato a livello di rete virtuale e copre tutti gli IP pubblici associati alle risorse della rete virtuale. Dopo l'abilitazione, monitora continuamente le linee di base del traffico per ogni IP protetto e attiva automaticamente le pipeline di mitigazione quando rileva schemi di attacco, senza richiedere alcuna configurazione da parte Sua. Il contratto di servizio garantisce una disponibilità del 99,99% durante un attacco mitigato.

Con DDoS Network Protection abilitato, Azure rende disponibili in Azure Monitor metriche specifiche per gli attacchi DDoS, tra cui Under DDoS attack or not, Inbound packets dropped DDoS e Inbound bytes forwarded to service (traffico legittimo). È possibile configurare avvisi sulle metriche per notificare al team di sicurezza l'inizio di un attacco e monitorare in tempo reale l'efficacia della mitigazione tramite i dashboard del portale Azure.

Azure Firewall è un servizio gestito di sicurezza di rete cloud-native che fornisce ispezione e controllo centralizzati del traffico di rete per le reti virtuali Azure. A differenza dei Network Security Group (NSG), che sono semplici filtri di pacchetti con stato a livello di subnet o NIC, Azure Firewall è un firewall completamente stateful-as-a-service con disponibilità elevata integrata, scalabilità illimitata e funzionalità avanzate, tra cui il filtro FQDN (consenti o nega in base al nome di dominio) e i feed di intelligence sulle minacce.

Azure Firewall è disponibile in tre SKU. Standard supporta il filtraggio dal livello L3 al livello L7, le regole basate su FQDN, le regole di rete e applicazione e l'intelligence sulle minacce. Premium aggiunge l'ispezione TLS (decrittografare, ispezionare e crittografare nuovamente il traffico HTTPS), l'IDPS (rilevamento e prevenzione delle intrusioni) e il filtro degli URL, offrendo funzionalità complete di firewall di nuova generazione. Basic è un'opzione più economica per gli scenari SMB con requisiti di filtraggio più semplici.

Il modello consigliato consiste nel distribuire Azure Firewall in una rete virtuale hub dedicata e instradare attraverso di essa tutto il traffico proveniente dalle reti virtuali spoke mediante User Defined Routes (UDR). Questa topologia hub-and-spoke crea un unico punto di controllo per tutto il traffico est-ovest (da una rete virtuale all'altra) e nord-sud (diretto verso Internet), semplificando l'applicazione di una policy di sicurezza coerente e la registrazione di tutti i flussi di rete tramite un unico servizio.

Azure Firewall elabora tre tipi di regole in ordine di priorità. Le regole NAT traducono gli IP pubblici in ingresso in IP privati della rete virtuale (Destination Network Address Translation). Le regole di rete sono filtri ai livelli 3-4 basati su IP di origine, IP di destinazione, porta e protocollo: consentono o negano il traffico TCP/UDP non elaborato. Le regole applicazione filtrano il traffico in uscita in base ai modelli di URL HTTP/HTTPS e agli FQDN, consentendo un controllo granulare delle destinazioni Internet raggiungibili dalle risorse.

Azure Firewall si integra con i feed di Microsoft Threat Intelligence per avvisare o negare automaticamente il traffico da e verso indirizzi IP e domini noti come dannosi. Il feed viene aggiornato continuamente dalla rete globale di rilevamento delle minacce di Microsoft. Nella modalità Alert and Deny, il firewall blocca qualsiasi pacchetto da o verso un IP dannoso noto prima di valutare le regole personalizzate, fornendo una protezione automatica dagli attori dannosi noti senza dover aggiornare manualmente le regole.

Gli NSG e Azure Firewall si completano a vicenda ed entrambi sono necessari in una strategia di difesa in profondità. Gli NSG sono filtri di pacchetti leggeri e stateful applicati a subnet e NIC, ideali per la micro-segmentazione all'interno di una rete virtuale e per consentire solo le porte necessarie tra i livelli. Azure Firewall fornisce ispezione centralizzata a livello applicazione, filtraggio FQDN, registrazione e intelligence sulle minacce per tutte le reti virtuali: una capacità molto più ampia di quella esprimibile dalle regole NSG.

Azure Firewall Policy è una risorsa ARM che contiene tutte le raccolte di regole (NAT, di rete e applicazione) e le impostazioni per uno o più firewall. Azure Firewall Manager offre un'interfaccia di gestione centralizzata per distribuire e amministrare le policy di Azure Firewall su più istanze di Azure Firewall e Azure Virtual WAN su larga scala. In questo modo le aziende possono definire una policy aziendale di base ed ereditarla nelle distribuzioni firewall regionali, applicando override locali.

Verifichi la propria comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha imparato che: DDoS Network Protection monitora tutti gli IP pubblici delle reti virtuali e mitiga automaticamente gli attacchi volumetrici, Azure Firewall è un firewall stateful gestito con filtraggio FQDN e integrazione con l'intelligence sulle minacce e la topologia hub-and-spoke centralizza tutto il traffico di rete attraverso una singola istanza di Azure Firewall. Prossimamente analizzeremo il funzionamento dei prezzi di Azure.