Azure DDoS Protection och Firewall

En Distributed Denial of Service-attack (DDoS-attack) överbelastar ett mål – en server, ett program eller ett nätverk – med så mycket trafik att legitima användare inte kan komma åt det. Angripare använder botnät med tusentals komprometterade enheter för att generera trafikvolymer som överstiger målets kapacitet. DDoS-attacker varierar från enkla volymattacker (UDP-förstärkning) till attacker på applikationslagret (HTTP-översvämningar riktade mot en specifik slutpunkt).

Azure tillhandahåller två nivåer av DDoS-skydd. DDoS Network Protection (Basic) – tidigare kallat DDoS Basic – är inbyggt i Azure-plattformen och skyddar automatiskt alla offentliga Azure-IP-adresser utan extra kostnad. Det begränsar vanliga attacker på nätverkslagret. DDoS IP Protection och DDoS Network Protection (Standard) lägger till kontinuerlig trafikövervakning, adaptiv justering som är specifik för er arbetsbelastning, team för snabb respons och kostnadsskydd (krediter för Azure-resurser som förbrukas under en attack).

DDoS Network Protection tillämpas på nivån för virtuella nätverk och omfattar alla offentliga IP-adresser som är kopplade till resurser i detta virtuella nätverk. När funktionen har aktiverats övervakar den kontinuerligt trafikbaslinjerna för varje skyddad IP-adress och aktiverar automatiskt begränsningsfunktioner när attackmönster upptäcks – utan att ni behöver konfigurera något. SLA:t garanterar 99,99 procents tillgänglighet under en begränsad attack.

När DDoS Network Protection är aktiverat visar Azure DDoS-specifika mått i Azure Monitor, bland annat Under DDoS-attack eller inte, Inkommande paket som har ignorerats av DDoS-skyddet och Inkommande byte som vidarebefordrats till tjänsten (legitim trafik). Ni kan ange måttaviseringar för att meddela säkerhetsteamet när en attack börjar och övervaka hur effektiv begränsningen är i realtid via instrumentpanelerna i Azure-portalen.

Azure Firewall är en hanterad, molnbaserad nätverkssäkerhetstjänst som tillhandahåller centraliserad inspektion och kontroll av nätverkstrafik för era virtuella Azure-nätverk. Till skillnad från Network Security Groups (NSG), som är enkla tillståndsbevarande paketfilter på undernäts- eller NIC-nivå, är Azure Firewall en helt tillståndsbevarande brandvägg som tjänst, med inbyggd hög tillgänglighet, obegränsad skalning och avancerade funktioner som FQDN-filtrering (tillåta eller neka efter domännamn) och hotinformationsflöden.

Azure Firewall finns i tre SKU:er. Standard stöder filtrering på lager 3–7, FQDN-baserade regler, nätverks- och programregler samt hotinformation. Premium lägger till TLS-inspektion (dekryptera, inspektera och kryptera om HTTPS-trafik), IDPS (intrångsidentifiering och intrångsskydd) samt URL-filtrering för fullständiga funktioner hos en nästa generations brandvägg. Basic är ett billigare alternativ för små och medelstora företag med enklare filtreringskrav.

Det rekommenderade mönstret är att distribuera Azure Firewall i ett dedikerat hub-VNet och dirigera all trafik från spoke-VNet genom det med User Defined Routes (UDR). Denna hub-and-spoke-topologi skapar en enda kontrollpunkt för all trafik i öst–västlig riktning (mellan virtuella nätverk) och nord–sydlig riktning (internetbunden trafik). Därmed blir det enkelt att tillämpa en enhetlig säkerhetspolicy och logga alla nätverksflöden genom en enda tjänst.

Azure Firewall bearbetar tre typer av regler i prioritetsordning. NAT-regler översätter inkommande offentliga IP-adresser till privata IP-adresser i virtuella nätverk (Destination Network Address Translation). Nätverksregler är filter på lager 3–4 som baseras på käll-IP, mål-IP, port och protokoll – och som tillåter eller nekar rå TCP-/UDP-trafik. Programregler filtrerar utgående trafik efter HTTP-/HTTPS-URL-mönster och FQDN:er, vilket möjliggör detaljerad kontroll över vilka internetmål resurser får nå.

Azure Firewall integreras med Microsoft Threat Intelligence-flöden för att automatiskt varna för eller neka trafik till och från kända skadliga IP-adresser och domäner. Flödet uppdateras kontinuerligt från Microsofts globala nätverk för hotidentifiering. I läget Alert and Deny blockerar brandväggen alla paket till eller från en känd skadlig IP-adress innan era anpassade regler utvärderas. Det ger automatiskt skydd mot kända angripare utan manuella regeluppdateringar.

NSG:er och Azure Firewall kompletterar varandra och behövs båda i en strategi med försvar i flera lager. NSG:er är lätta, tillståndsbevarande paketfilter som tillämpas på undernät och nätverkskort – idealiska för mikrosegmentering i ett virtuellt nätverk, där endast nödvändiga portar mellan olika nivåer tillåts. Azure Firewall tillhandahåller centraliserad inspektion på programlagret, FQDN-filtrering, loggning och hotinformation i alla virtuella nätverk – funktioner som går långt utöver vad NSG-regler kan uttrycka.

Azure Firewall Policy är en ARM-resurs som innehåller alla regelsamlingar (NAT, nätverk och program) samt inställningar för en eller flera brandväggar. Azure Firewall Manager tillhandahåller ett centralt hanteringsgränssnitt för att distribuera och styra brandväggsprinciper över flera Azure Firewall-instanser och Virtual WAN i stor skala. På så sätt kan företag definiera en grundläggande företagspolicy och låta regionala brandväggsdistributioner ärva den, med lokala åsidosättanden.

I den här lektionen har ni lärt er att DDoS Network Protection övervakar alla offentliga IP-adresser i virtuella nätverk och automatiskt begränsar volymattacker, att Azure Firewall är en hanterad tillståndsbevarande brandvägg med FQDN-filtrering och integrering med hotinformation och att hub-and-spoke-topologin centraliserar all nätverkstrafik genom en enda Azure Firewall-instans. Härnäst utforskar vi hur Azure-prissättningen fungerar.