mcpField
A
azure-ddos-protection

azure-ddos-protection

github.com/vinayaklatthe安全17842 次安装19 周前更新
代码仓库

关于 azure-ddos-protection

azure-ddos-protection 是用于规划 Azure DDoS Protection 的技能，帮助保护公网工作负载免受第 3/4 层攻击。它面向云平台与安全团队，涵盖防护范围选择、监控配置和事件响应准备。

主要功能

  1. 01按工作负载选择防护层级
  2. 02配置攻击指标与告警
  3. 03规划非生产环境模拟测试
  4. 04准备攻击分析与事后报告
  5. 05协调 DDoS 与 WAF 防护

适用场景

  1. 01为多区域公网 API 规划防护范围
  2. 02比较 Network Protection 与 IP Protection
  3. 03制定包含 Rapid Response 的攻击响应流程
  4. 04验证模拟测试和运行手册

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/vinayaklatthe/microsoft-security-skills --skill azure-ddos-protection

安装后在 Claude Code 中输入/azure-ddos-protection确认已加载。

详细介绍

Azure DDoS Protection

Azure DDoS Protection 部署在 Microsoft 全球网络上，可在 第 3/4 层流量型和协议攻击 到达你的工作负载之前将其吸收。免费的 Infrastructure Protection 层可保护 Azure 平台；付费的 DDoS Protection 计划则为你的资源提供专属且经配置文件调优的缓解措施、攻击分析、事件后报告、成本保护以及 Rapid Response 支持。

适用场景

停机成本不可忽视的面向公众的工作负载：电子商务、受监管的金融 API、多人游戏、公共部门服务、面向互联网的 AI API、流媒体，以及任何可能遭受政治或商业动机 DDoS 攻击的活动。

请勿将此技能用于 单独缓解应用层（HTTP）攻击（azure-waf）、Azure Firewall 设计（azure-firewall），或第三方 DDoS 设备方案。

层级选择

层级范围适用场景
Infrastructure Protection免费，平台级，无 SLA，无分析功能所有工作负载的默认选择
DDoS Network Protection按 VNet 计费，涵盖范围内的所有公共 IP多 IP 工作负载、大型资源环境
DDoS IP Protection按公共 IP 计费，粒度精细小型资源环境、注重成本或特定高风险 IP

定价模式有所不同：Network Protection 按计划收取固定费用，覆盖多个资源；IP Protection 按 IP 计费。资源环境规模会改变成本效益——选择前应对两种方案进行测算。

方法

  1. 按工作负载决定层级。

    • 多个 VNet 中有 50+ 个公共 IP → 在相关 VNet 上使用 Network Protection。
    • 单个 Standard 公共 IP 上有特定的面向互联网应用 → 使用 IP Protection。
    • 混合场景 → 根据范围合理配置两者。

  2. 在部署时在 VNet 上启用（Network Protection）。 平台会立即开始 流量分析；它会在约 7 天内学习正常流量模式，并自动调整每个 IP 的缓解策略。配置文件运行得越久，缓解准确度越高。

  3. 按设计，不提供静态阈值。 缓解措施是自适应的。不要基于固定 Mbps 上限的假设进行架构设计。

  4. 配置警报。 DDoS 指标和警报是一等功能：

    • 每个公共 IP 的“是否遭受 DDoS 攻击”布尔值。
    • DDoS Protection 丢弃的入站数据包。
    • 触发 DDoS 的入站 TCP/UDP 数据包。 通过 Log Analytics + 活动日志警报接入 Sentinel。

  5. 在事件发生前进行模拟。 BreakingPoint Cloud 和 Red Button 是 Microsoft 批准的模拟合作伙伴。每季度在非生产环境的公共 IP 上进行模拟，验证缓解措施是否生效以及运行手册是否可执行。

  6. 攻击分析 + 事件后报告。 在攻击期间及结束后，产品会生成一份 缓解报告，其中包含攻击向量、流量量级、主要来源和缓解措施——可作为向董事会或监管机构沟通的有用证据。

  7. DDoS Rapid Response（DRR）。 Network Protection 计划包含在攻击期间与 Microsoft 的 DDoS 响应团队联系。请提前准备：

    • 在 IR 运行手册中记录 DRR 联系信息。
    • 确认客户支持合同类型允许使用 DRR（通常为 Premier/Unified 或 Pro Direct）。
    • 指定有权联系 Microsoft 的负责人。

  8. 成本保护。 成功的 DDoS 攻击可能会导致扩展成本激增（自动扩展的 App Service、额外带宽、CDN 出站流量）。Network Protection 包含服务额度成本保护——事件后请附上缓解报告提交索赔。

  9. 结合 WAF 和 Front Door 使用。 DDoS Protection 覆盖 L3/L4。L7 攻击（HTTP 洪泛、slow loris、业务逻辑滥用）需要在工作负载前方的 Front Door / Application Gateway 上配置 WAF。应同时规划两者。

防护措施

  • **基础设施保护（免费）并非毫无用处，但不足以应对高价值的公共工作负载。**没有 SLA、没有分析、没有成本保护。
  • **不要在没有面向互联网的公共 IP 的 VNet 上启用网络保护。**没有效果，却要支付全额费用。
  • **缓解效果需要时间建立配置文件。**在攻击前几分钟才启用保护的新公共 IP，受益不如已有 7 天以上基线的 IP。
  • **WAF 和 DDoS 相辅相成，不能互相替代。**L7 攻击完全绕过 L3/L4 缓解。
  • **在非生产环境中测试，绝不要在面向客户的实时终端节点上测试。**仅允许合作伙伴在获批的 IP 和时间窗口内进行模拟。
  • **仅支持标准公共 IP。**IP 保护不支持基本公共 IP（且基本 SKU 即将停用）。
  • 由 CDN 提供前置保护的工作负载会部分受到 CDN 自身 DDoS 防护能力的保护；仍应考虑为源站启用 DDoS 保护。
  • **不要将 Azure DDoS 作为灾难恢复计划。**缓解措施可以降低影响，但无法保证完全不受影响。

常见反模式

  • “免费的基础设施保护就够了”——直到遭遇首次定向攻击，才发现没有分析、没有快速响应、没有成本保护，也没有审计证据。
  • “为 200 个 IP 启用 IP 保护”——账单可能比网络保护计划还高。先核算成本。
  • “攻击期间才启用 DDoS 保护”——配置文件为空，效果较差。务必提前启用。
  • “跳过模拟，从未测试运行手册”——首次真正应对时手忙脚乱。
  • “未提前安排 DRR”——事件响应会浪费 60 分钟来寻找正确的 Microsoft 合同联系途径。
  • “架构设计时未在前端部署 WAF”——L7 攻击会绕过 L3/L4 缓解并得逞。
  • “客户支持层级不允许使用 DRR”——在事件发生时才发现这一点，令人措手不及。

示例提示词

  • 为一个覆盖 6 个区域、拥有 80 个公共 IP 的公共 API 体系规划 DDoS 保护。
  • 比较一个在 3 个 VNet 中拥有 25 个公共 IP 的租户使用网络保护与 IP 保护的成本。
  • 编写 DDoS 攻击运行手册，包括 DRR 升级联系步骤和利益相关者沟通模板。
  • 使用 BreakingPoint Cloud 进行季度 DDoS 模拟——范围、成功标准和回滚方案。
  • 将 DDoS 指标和警报接入 Sentinel，并针对持续缓解事件配置检测。
  • 为受监管的电子商务工作负载设计 Front Door + WAF + DDoS 网络保护架构。
  • 在一次持续 14 小时的攻击得到缓解后提交成本保护申索——需要哪些证据和流程。

Microsoft Learn

评论

支持 Markdown