Partilhar via

Proteção contra DDoS na porta frontal do Azure

  • Artigo

O Azure Front Door é uma Rede de Entrega de Conteúdo (CDN) que ajuda a proteger suas origens contra ataques DDoS HTTP(S) distribuindo o tráfego em seus 192 Pontos de Presença de Borda (POPs) em todo o mundo. Esses POPs usam a grande WAN privada do Azure para fornecer seus aplicativos e serviços Web de forma mais rápida e segura para seus usuários finais. O Azure Front Door inclui proteção contra DDoS de camada 3, 4 e 7 e um Web Application Firewall (WAF) para proteger seus aplicativos contra exploits e vulnerabilidades comuns.

Proteção contra DDoS de infraestrutura

O Azure Front Door se beneficia da proteção DDoS padrão da infraestrutura do Azure. Essa proteção monitora e mitiga ataques de camada de rede em tempo real usando a escala global e a capacidade da rede do Azure Front Door. Tem um histórico comprovado de proteção dos serviços empresariais e de consumo da Microsoft contra ataques em larga escala.

Bloqueio de Protocolo

O Azure Front Door suporta apenas protocolos HTTP e HTTPS e requer um cabeçalho válido Host para cada solicitação. Esse comportamento ajuda a evitar tipos comuns de ataques DDoS, como ataques volumétricos usando vários protocolos e portas, ataques de amplificação de DNS e ataques de envenenamento de TCP.

Absorção de Capacidade

O Azure Front Door é um serviço distribuído globalmente em grande escala que atende muitos clientes, incluindo os próprios produtos de nuvem da Microsoft, que lidam com centenas de milhares de solicitações por segundo. Posicionado na borda da rede do Azure, o Azure Front Door pode intercetar e isolar geograficamente ataques de grande volume, impedindo que o tráfego mal-intencionado alcance além da borda da rede do Azure.

Colocação em cache

Você pode usar os recursos de cache do Azure Front Door para proteger seus back-ends de grandes volumes de tráfego gerados por um ataque. Os nós de borda do Azure Front Door retornam recursos armazenados em cache, evitando encaminhá-los para seu back-end. Mesmo tempos de expiração de cache curtos (segundos ou minutos) em respostas dinâmicas podem reduzir significativamente a carga em seus serviços de back-end. Para obter mais informações sobre conceitos e padrões de cache, consulte Considerações sobre cache e Padrão de cache-side.

Firewall de Aplicações Web (WAF)

Você pode usar o Firewall de Aplicativo Web do Azure (WAF) para mitigar vários tipos de ataques:

  • O conjunto de regras gerenciadas protege seu aplicativo contra muitos ataques comuns. Para obter mais informações, consulte Regras gerenciadas.
  • Bloqueie ou redirecione o tráfego de regiões geográficas específicas para uma página da Web estática. Para obter mais informações, consulte Filtragem geográfica.
  • Bloqueie endereços IP e intervalos identificados como maliciosos. Para obter mais informações, consulte Restrições de IP.
  • Aplique um limite de taxa para evitar que os endereços IP liguem para o seu serviço com muita frequência. Para obter mais informações, consulte Limitação de taxa.
  • Crie regras WAF personalizadas para bloquear e limitar automaticamente ataques HTTP ou HTTPS com assinaturas conhecidas.
  • O conjunto de regras gerenciadas de proteção de bot protege seu aplicativo contra bots mal-intencionados conhecidos. Para obter mais informações, consulte Configurando a proteção de bot.

Consulte Proteção contra DDoS de aplicativos para obter orientação sobre como usar o WAF do Azure para proteção contra ataques DDoS.

Proteja as origens da rede virtual

Habilite a Proteção contra DDoS do Azure em sua rede virtual de origem para proteger seus IPs públicos contra ataques DDoS. Este serviço oferece mais benefícios, como proteção de custos, garantia de SLA e acesso à Equipe de Resposta Rápida DDoS para assistência especializada durante um ataque.

Melhore a segurança de suas origens hospedadas no Azure usando o Azure Private Link para restringir o acesso à Porta da Frente do Azure. Esse recurso estabelece uma conexão de rede privada entre o Azure Front Door e seus servidores de aplicativos, eliminando a necessidade de expor suas origens à Internet pública.

Próximos passos