mcpField
A
azure-ddos-protection

azure-ddos-protection

github.com/vinayaklattheセキュリティ17842 回インストール19 週間前に更新
リポジトリ

azure-ddos-protection について

azure-ddos-protectionは、公開ワークロードをレイヤー3/4攻撃から守るAzure DDoS Protectionの計画を支援するスキルです。クラウドおよびセキュリティチーム向けに、保護範囲の選定、監視設定、インシデント対応の準備を扱います。

主な機能

  1. 01ワークロードに応じた保護レベルの選定
  2. 02攻撃メトリックとアラートの設定
  3. 03非本番環境でのシミュレーション計画
  4. 04攻撃分析と事後レポートの準備
  5. 05DDoSとWAFの保護連携

活用シーン

  1. 01複数リージョンの公開API向け保護範囲の計画
  2. 02Network ProtectionとIP Protectionの比較
  3. 03Rapid Responseを含む攻撃対応手順の作成
  4. 04シミュレーションテストとランブックの検証

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill azure-ddos-protection

インストール後、Claude Code で/azure-ddos-protectionを入力して読み込まれたか確認します。

詳細

Azure DDoS Protection

Azure DDoS Protection は Microsoft のグローバルネットワーク上で動作し、ワークロードに到達する前にレイヤー 3／4 の大量トラフィック攻撃およびプロトコル攻撃を吸収します。無料のインフラストラクチャ保護レイヤーは Azure をプラットフォームとして保護します。有料のDDoS Protectionプランでは、専用のプロファイルに合わせた緩和、攻撃分析、インシデント後のレポート、コスト保護、リソースに関する Rapid Response サポートを利用できます。

使用する場面

停止による損失が無視できない、インターネットに公開されたワークロードが対象です。たとえば、e コマース、規制対象の金融 API、マルチプレイヤーゲーム、公共サービス、インターネットに公開された AI API、ストリーミング、政治的または商業的な動機による DDoS の標的となるあらゆるキャンペーンが該当します。

このスキルは、アプリケーション層（HTTP）の攻撃緩和のみ（azure-waf）、Azure Firewall の設計（azure-firewall）、またはサードパーティ製 DDoS アプライアンスのパターンには使用しないでください。

プランの選択

プラン対象範囲最適な用途
インフラストラクチャ保護無料、プラットフォームレベル、SLA なし、分析機能なしすべてのワークロードのデフォルト
DDoS Network ProtectionVNet 単位、対象範囲内のすべてのパブリック IP複数の IP を持つワークロード、大規模な環境
DDoS IP Protectionパブリック IP 単位、きめ細かい保護小規模な環境、コスト重視、特定の高リスク IP

料金モデルは異なります。Network Protection は多くのリソースを対象とするプランごとの定額料金です。IP Protection は IP ごとの料金です。環境の規模によって費用対効果は変わるため、選択前に両方を試算してください。

アプローチ

  1. ワークロードごとにプランを決定します。

    • 複数の VNet に 50 個以上のパブリック IP がある場合 → 該当する VNet で Network Protection を使用します。
    • 単一の Standard パブリック IP を使用する、インターネットに公開された特定のアプリの場合 → IP Protection を使用します。
    • 併用する場合 → 適切な範囲に設定して両方を使用します。

  2. デプロイ時に VNet で有効にします（Network Protection）。 プラットフォームはすぐにトラフィックのプロファイリングを開始します。約 7 日間かけて通常のパターンを学習し、IP ごとの緩和ポリシーを自動調整します。プロファイルの稼働期間が長いほど、緩和の精度が向上します。

  3. 静的なしきい値は、設計上存在しません。 緩和は適応型です。固定 Mbps 上限があることを前提に設計しないでください。

  4. アラートを構成します。 DDoS のメトリックとアラートは標準機能です。

    • パブリック IP ごとの「DDoS 攻撃を受けているかどうか」を示すブール値。
    • DDoS Protection によってドロップされたインバウンドパケット。
    • DDoS のトリガー対象となるインバウンド TCP／UDP パケット。 Log Analytics とアクティビティログのアラートを介して Sentinel に接続します。

  5. インシデントの発生前にシミュレーションを実施します。 BreakingPoint Cloud と Red Button は Microsoft が承認したシミュレーションパートナーです。本番以外のパブリック IP で四半期ごとにシミュレーションを実施し、緩和機能の適用とランブックの実行を検証します。

  6. 攻撃分析とインシデント後のレポート。 攻撃中および攻撃後に、製品は攻撃ベクトル、トラフィック量、主な送信元、緩和アクションを含む緩和レポートを作成します。これは、取締役会や規制当局への説明に役立つ証拠となります。

  7. DDoS Rapid Response（DRR）。 Network Protection のプランには、攻撃中に Microsoft の DDoS 対応チームと連携するサービスが含まれます。事前に以下を準備してください。

    • IR ランブックに DRR の連絡先情報を記載します。
    • DRR が利用可能なカスタマーサポート契約の種類を確認します（通常は Premier／Unified または Pro Direct）。
    • Microsoft への連絡権限を持つ担当者を指定します。

  8. コスト保護。 DDoS 攻撃が成功すると、自動スケールする App Service、追加の帯域幅、CDN のエグレスなどのスケールアウトコストが急増する可能性があります。Network Protection にはサービスクレジットによるコスト保護が含まれます。インシデント後に緩和レポートを添えて申請してください。

  9. WAF および Front Door と組み合わせます。 DDoS Protection が対象とするのは L3／L4 です。L7 攻撃（HTTP フラッド、スローロリス、ビジネスロジックの悪用）には、ワークロードの前段にある Front Door／Application Gateway で WAF が必要です。両方を設計してください。

ガードレール

  • Infrastructure Protection（無料）は無意味ではありませんが、価値の高いパブリックワークロードには不十分です。 SLA、分析機能、コスト保護はありません。
  • インターネットに接続するパブリック IP がない VNet では、Network Protection を有効にしないでください。 効果がなく、料金だけが発生します。
  • 緩和効果を得るには、プロファイルの作成期間が必要です。 攻撃の数分前に有効にしたばかりのパブリック IP は、7 日以上のベースラインがある IP よりも効果が低くなります。
  • WAF と DDoS は相互補完するものであり、代替手段ではありません。 L7 攻撃は L3/L4 の緩和を完全に回避します。
  • 本番以外の環境でテストし、顧客向けエンドポイントでは決して行わないでください。 シミュレーションパートナーの利用は、承認済みの IP で、承認済みの時間帯に限ります。
  • Standard パブリック IP のみが対象です。 Basic パブリック IP は IP Protection ではサポートされておらず、Basic SKU は廃止予定です。
  • CDN を前段に配置したワークロードは、CDN 独自の DDoS 対策によって部分的に保護されます。それでも、オリジンに対する DDoS Protection を検討してください。
  • Azure DDoS を DR 計画として使用しないでください。 緩和によって影響は軽減されますが、影響がゼロになることを保証するものではありません。

よくあるアンチパターン

  • 「無料の Infrastructure Protection で十分」 — 最初の標的型攻撃が発生するまではそう思えますが、そのときには分析機能も Rapid Response もコスト保護も監査証跡もありません。
  • 「200 個の IP で IP Protection を使用」 — Network Protection のプランより請求額が大きくなります。費用を試算してください。
  • 「攻撃中に DDoS Protection を有効化」 — プロファイルが空のため、効果が低くなります。必ず事前に有効化してください。
  • 「シミュレーションを省略し、ランブックを一度もテストしない」 — 実際に対応する初めての機会で、対応に失敗します。
  • 「DRR を事前に手配していない」 — インシデント対応で、適切な Microsoft の契約窓口を探すのに 60 分を費やします。
  • 「前段に WAF を置かずに設計」 — L3/L4 の緩和を通過して、L7 攻撃が成功します。
  • 「顧客のサポートレベルでは DRR を利用できない」 — インシデント発生時に初めて判明します。

プロンプトの例

  • Plan DDoS Protection coverage for a 6-region public-API estate with 80 public IPs.
  • Compare Network vs IP Protection cost for a tenant with 25 public IPs in 3 VNets.
  • Build the DDoS attack runbook including DRR engagement steps and stakeholder comms templates.
  • Quarterly DDoS simulation with BreakingPoint Cloud — scope, success criteria, rollback.
  • Wire DDoS metrics + alerts to Sentinel with detections for sustained mitigation events.
  • Architect Front Door + WAF + DDoS Network Protection for a regulated e-commerce workload.
  • File the cost protection claim after a 14-hour mitigated attack — what evidence and process.

Microsoft Learn

コメント

Markdown 対応