Protezione DDOS Microsoft Azure

Question

Sto eseguendo un'applicazione su scala aziendale in Microsoft Azure. Volevo sapere quali sono le raccomandazioni per la proiezione DDOS in Microsoft Azure. La documentazione afferma chiaramente che la piattaforma è protetta da DDOS con molti più dettagli. La mia comprensione della Azure DDOS è

• Se un altro cliente viene attaccato da un attacco DDoS, l'applicazione non subirà
• Se l'applicazione viene attaccato da un attacco DDoS, Microsoft smetterà di tutte le connessioni al il tuo punto finale e in effetti abbattere il tuo servizio.

Sulla base di questa comprensione, preferirei se la connessione dal IP/set di IPS particolare fosse bloccata piuttosto che prendere l'intera applicazione verso il basso.

Sarei in una posizione migliore per utilizzare un prodotto come Incapsula per la protezione da DDOS?

Answer 1

Azure non protegge l'app contro DDOS. Pertanto, è necessario utilizzare dynamicIpSecurity se non è sufficiente, utilizzare CloudFlare

In Web.config

<system.webServer> 
    . 
    . 
    <security> 
    <ipSecurity allowUnlisted="true"> 
     <!-- Add Here trusted Ips--> 
     <add ipAddress="1.1.1.1.1" allowed="true" /> 
    </ipSecurity> 

    <dynamicIpSecurity denyAction="Forbidden"> 
     <denyByConcurrentRequests enabled="true" maxConcurrentRequests="20" /> 
     <denyByRequestRate enabled="true" maxRequests="30" requestIntervalInMilliseconds="1000" /> 
    </dynamicIpSecurity> 

    </security> 

</system.webServer> 

L'elemento <denyByRequestRate> specifica che un client remoto sarà bloccato se il numero di richieste ricevute nel corso di un periodo di tempo supera un numero specifico.

L'elemento <denyByConcurrentRequests> specifica che un client remoto verrà bloccato se il numero di connessione HTTP simultanea richieste da quel cliente supera un numero specifico.

Quindi In questo esempio; Se un client (ip) effettua 20 richieste simultanee o 30 richieste in un secondo, le altre richieste effettuate da questo client (ip) avranno 403.

Answer 2

So che quando abbiamo migrato alcuni dei nostri servizi in AWS abbiamo lavorato con VeriSign e hanno una piattaforma DDoS openhybrid che funziona bene con quello che abbiamo messo lì per piazzarci ... So che abbiamo lavorato con Doug laggiù ed era veramente ben informato su come mettere tutto in funzione.

Answer 3

È necessario configurare la protezione DDOS per l'applicazione. Questo link msdn fornisce le linee guida dettagliate su come questo può essere raggiunto.

https://blogs.msdn.microsoft.com/friis/2014/12/30/security-guidelines-to-detect-and-prevent-dos-attacks-targeting-iisazure-web-role-paas/