Azure Front Door 上的 DDoS 防护

Azure Front Door是一种内容分发网络（CDN），通过将流量分布到其遍布全球的 192 个边缘节点（POP），帮助保护源免受 HTTP(S) DDoS 攻击。 这些 POP 使用 Azure 的大型专用 WAN 更快、更安全地向最终用户提供 Web 应用程序和服务。 Azure Front Door 还包括第 3 层、4 层和 7 层 DDoS 防护和 Web 应用程序防火墙 (WAF)，可保护应用程序免受常见攻击和漏洞的伤害。

基础结构 DDoS 防护

Azure Front Door 获益于默认 Azure 基础结构 DDoS 防护。 此保护使用Azure Front Door网络的全球规模和容量实时监视和缓解网络层攻击。 它在保护 Microsoft 的企业和消费者服务免受大规模攻击方面拥有久经验证的成功记录。

协议阻止

Azure Front Door 仅支持 HTTP 和 HTTPS 协议，并且要求每个请求都具有有效的 Host 标头。 此行为有助于防止常见的 DDoS 攻击类型，例如使用各种协议和端口的批量攻击、DNS 放大攻击和 TCP 中毒攻击。

容量吸收

Azure Front Door 是一项大规模的全球分布式服务，为许多客户提供服务，包括 Microsoft 自己的云产品，每秒可处理数十万个请求。 Azure Front Door 位于 Azure 网络的边缘，可以拦截和在地理上隔离大容量攻击，防止恶意流量超出 Azure 网络的边缘。

Caching

使用 Azure Front Door 的 缓存能力 来保护您的后端免受由攻击产生的大量流量冲击。 Azure Front Door边缘节点返回缓存的资源，因此它们不会将这些资源转发到后端。 即使动态响应的缓存过期时间很短（几秒或几分钟），也可以大幅减少后端服务上的负载。 有关缓存概念和模式的详细信息，请参阅 缓存注意事项 和 缓存端模式。

Web 应用程序防火墙 (WAF)

使用 Azure Web 应用程序防火墙 （WAF）防范各种类型的攻击：

  • 托管规则集可保护应用程序免受许多常见攻击。 有关详细信息，请参阅托管规则。
  • 阻止或将来自特定地理区域的流量重定向到静态网页。 有关详细信息，请参阅地区筛选。
  • 阻止标识为恶意的 IP 地址和范围。 有关详细信息，请参阅 IP 限制。
  • 应用速率限制以防止 IP 地址过于频繁地调用服务。 有关详细信息，请参阅速率限制。
  • 创建自定义 WAF 规则来自动阻止具有已知签名的 HTTP 或 HTTPS 攻击并对这些攻击进行速率限制。
  • 机器人保护托管规则集可保护应用程序免受已知的恶意机器人的威胁。 有关详细信息，请参阅配置机器人防护。

保护虚拟网络源

在你的源虚拟网络上启用 Azure DDoS 防护，以保护公共 IP 免受 DDoS 攻击。 此服务提供了更多好处，例如成本保护、SLA 保证，并且可以在攻击期间联系 DDoS 快速响应团队以获得专家协助。

通过使用 Azure 专用链接限制对 Azure Front Door 的访问，增强 Azure 托管源的安全性。 此功能在 Azure Front Door 与应用程序服务器之间建立专用网络连接，无需将源站暴露到公共互联网上。

相关内容

  • Last updated on