Защита Azure от DDoS и брандмауэр

Распределенная атака типа «отказ в обслуживании» (DDoS) заполняет цель — сервер, приложение или сеть — таким объемом трафика, что легитимные пользователи не могут получить к ней доступ. Злоумышленники используют ботнеты из тысяч скомпрометированных устройств для создания объемного трафика, превышающего пропускную способность цели. DDoS-атаки варьируются от простых объемных атак (усиление UDP) до атак на уровне приложения (потоки HTTP-запросов, направленные на конкретную конечную точку).

Azure предоставляет два уровня защиты от DDoS. DDoS Network Protection (Basic) — ранее называвшийся DDoS Basic — встроен в платформу Azure и автоматически защищает все общедоступные IP-адреса Azure без дополнительной платы. Он снижает воздействие распространенных атак на сетевом уровне. DDoS IP Protection и DDoS Network Protection (Standard) добавляют постоянный мониторинг трафика, адаптивную настройку под конкретную рабочую нагрузку, группы быстрого реагирования и защиту от затрат (кредиты на ресурсы Azure, использованные во время атаки).

DDoS Network Protection применяется на уровне виртуальной сети и охватывает все общедоступные IP-адреса, подключенные к ресурсам в этой VNet. После включения служба непрерывно отслеживает базовые показатели трафика для каждого защищенного IP-адреса и автоматически активирует конвейеры противодействия при обнаружении шаблонов атаки — без необходимости настраивать что-либо с Вашей стороны. SLA гарантирует доступность 99,99% во время отраженной атаки.

При включенной DDoS Network Protection Azure отображает специальные метрики DDoS в Azure Monitor, включая Идет ли DDoS-атака, Входящие пакеты, отброшенные DDoS и Входящие байты, пересланные службе (легитимный трафик). Вы можете настроить оповещения по метрикам, чтобы уведомлять команду безопасности о начале атаки, и отслеживать эффективность противодействия в реальном времени на панелях мониторинга портала Azure.

Azure Firewall — это управляемая облачная служба сетевой безопасности, обеспечивающая централизованную проверку и контроль сетевого трафика для Ваших VNet Azure. В отличие от групп безопасности сети (NSG), которые представляют собой простые фильтры пакетов с отслеживанием состояния на уровне подсети или NIC, Azure Firewall — это полностью отслеживающий состояние брандмауэр как услуга со встроенной высокой доступностью, неограниченным масштабированием и расширенными функциями, включая фильтрацию FQDN (разрешение или запрет по имени домена) и каналы аналитики угроз.

Azure Firewall доступен в трех артикулах. Standard поддерживает фильтрацию уровней L3–L7, правила на основе FQDN, сетевые правила и правила приложений, а также аналитику угроз. Premium добавляет проверку TLS (расшифровку, проверку и повторное шифрование трафика HTTPS), IDPS (обнаружение и предотвращение вторжений) и фильтрацию URL, обеспечивая полный набор возможностей брандмауэра нового поколения. Basic — это более доступный вариант для сценариев SMB с менее сложными требованиями к фильтрации.

Рекомендуемый шаблон предполагает развертывание Azure Firewall в выделенной центральной VNet и маршрутизацию через него всего трафика из периферийных VNet с помощью маршрутов, определяемых пользователем (UDR). Такая топология «центр — периферия» создает единую точку контроля для всего трафика между сетями (из VNet в VNet) и трафика с севера на юг (направленного в Интернет), что упрощает применение единой политики безопасности и ведение журналов всех сетевых потоков через одну службу.

Azure Firewall обрабатывает три типа правил в порядке приоритета. Правила NAT преобразуют общедоступные IP-адреса входящих подключений в частные IP-адреса VNet (трансляция сетевых адресов назначения). Сетевые правила — это фильтры уровней 3–4 на основе исходного IP-адреса, IP-адреса назначения, порта и протокола, разрешающие или запрещающие необработанный трафик TCP/UDP. Правила приложений фильтруют исходящий трафик по шаблонам URL HTTP/HTTPS и FQDNs, обеспечивая детальный контроль над интернет-ресурсами, к которым могут обращаться ресурсы.

Azure Firewall интегрируется с каналами аналитики угроз Microsoft, чтобы автоматически предупреждать о трафике к известным вредоносным IP-адресам и доменам и от них либо блокировать такой трафик. Канал постоянно обновляется на основе глобальной сети обнаружения угроз Microsoft. В режиме оповещения и запрета брандмауэр блокирует любой пакет к известному вредоносному IP-адресу или от него до проверки пользовательских правил, обеспечивая автоматическую защиту от известных злоумышленников без ручного обновления правил.

NSG и Azure Firewall дополняют друг друга и оба необходимы для стратегии эшелонированной защиты. NSG — это легковесные фильтры пакетов с отслеживанием состояния, применяемые к подсетям и NIC; они идеально подходят для микросегментации внутри VNet и позволяют использовать между уровнями только необходимые порты. Azure Firewall обеспечивает централизованную проверку на уровне приложений, фильтрацию FQDN, ведение журналов и аналитику угроз во всех VNet — возможности, значительно превосходящие то, что можно выразить правилами NSG.

Azure Firewall Policy — это ресурс ARM, содержащий все коллекции правил (NAT, сетевые и прикладные), а также параметры одного или нескольких брандмауэров. Azure Firewall Manager предоставляет централизованный интерфейс для развертывания политик брандмауэра и управления ими в нескольких экземплярах Azure Firewall и виртуальных глобальных сетях в масштабе. Это позволяет предприятиям определить базовую корпоративную политику и унаследовать ее в региональных развертываниях брандмауэров с локальными переопределениями.

Проверьте, насколько хорошо Вы усвоили концепции Microsoft Azure Fundamentals (AZ-900) из этого урока.

В этом уроке Вы узнали, что DDoS Network Protection отслеживает все общедоступные IP-адреса VNet и автоматически снижает воздействие объемных атак, Azure Firewall — это управляемый брандмауэр с отслеживанием состояния, фильтрацией FQDN и интеграцией с аналитикой угроз, а топология «центр — периферия» централизует весь сетевой трафик через один экземпляр Azure Firewall. Далее мы рассмотрим принцип работы цен Azure.