Защита Microsoft Azure DDOS

Question

Я использую приложение корпоративного масштаба в Microsoft Azure. Я хотел знать, каковы рекомендации для проекции DDOS в Microsoft Azure. В документации четко указано, что платформа защищена от DDOS, но не намного подробнее. Мое понимание Azure DDOS

• Если другой клиент подвергся атаке DDOS, ваше приложение не пострадает
• Если ваше приложение подключается с помощью DDOS-атаки, Microsoft прекратит все подключения к вашей конечной точке и фактически отключит вашу службу.

Исходя из этого понимания, я бы предпочел, чтобы соединение с конкретным IP/ набором IPS было заблокировано, а не отключено все приложение.

Буду ли я лучше использовать такой продукт, как Incapsula для защиты от DDOS?

Answer 1

Azure не защищает ваше приложение от DDOS. Поэтому вы должны использовать dynamicIpSecurity если этого недостаточно, используйте CloudFlare

В Web.config

 <system.webServer>
  .
  .
   <security>
     <ipSecurity allowUnlisted="true">
        <!-- Add Here trusted Ips-->
        <add ipAddress="1.1.1.1.1" allowed="true" />
     </ipSecurity>

     <dynamicIpSecurity denyAction="Forbidden">
       <denyByConcurrentRequests enabled="true" maxConcurrentRequests="20" />
       <denyByRequestRate enabled="true" maxRequests="30" requestIntervalInMilliseconds="1000" />
     </dynamicIpSecurity>

   </security>

 </system.webServer>

<denyByRequestRate> Элемент указывает, что удаленный клиент будет заблокирован, если количество запросов, полученных в течение определенного периода времени, превышает определенное число.

<denyByConcurrentRequests> Элемент указывает, что удаленный клиент будет заблокирован, если количество одновременных запросов HTTP-соединения от этого клиента превышает определенное число.

Итак, в этом примере; Если клиент (ip) делает 20 одновременных запросов или 30 запросов в секунду, остальные запросы, которые делает этот клиент (ip), получат 403.

Answer 2

Microsoft Azure теперь имеет службу защиты DDOS. Существует базовый (бесплатный) и стандартный (платный) сервис. Дополнительную информацию можно найти по адресу https://docs.microsoft.com/en-us/azure/virtual-network/ddos-protection-overview

Answer 3

Я знаю, что когда мы перенесли некоторые из наших сервисов на AWS, мы работали с VeriSign, и у них была открытая гибридная платформа DDoS, которая хорошо работает с тем, что мы туда поместили... Я знаю, что мы работали с Дагом там, и он был действительно осведомлен о том, как получить все и запустить.