MS_AzureDDoSProtection

AzureのDDoS対策

• 戻る（Azure、Azureの高可用性設計、Azure Well-Architected Framework - Security）
  • Azureの冗長化
  • Azureの障害復旧
  • AzureのDDoS対策
  • Azure上でのリトライ設計・実装

概要

Azure の L3/L4 での DDoS 対策

詳細

Azure Front Door（AFD）

エッジ側（エッジルータ部分）での対策。

Azure DDoS Protection

DC 側（各データセンタの入り口）での対策。

補足（2 段構えの意味）: 原文はこの 2 ページを並列に置いているが、
防御位置が違うという点が重要である。

インターネット
   │
   ▼  ← ① エッジ（世界中の POP）        : Azure Front Door
Microsoft グローバル バックボーン
   │
   ▼  ← ② データセンタ入口（リージョン）: Azure DDoS Protection
VNET / 各リソース
   │
   ▼  ← ③ アプリケーション層            : Application Gateway (WAF)

① は「そもそも自リージョンまで来させない」、
② は「リージョンに来た L3/L4 攻撃を吸収する」、
③ は「HTTP としておかしいものを弾く」。
L3/L4 と L7 は別の対策が要る（DDoS Protection だけでは
HTTP フラッドは防げない）というのが実務上の要点。

参考

開発基盤部会 Wiki

• SC：脅威 - DoS攻撃（DNET_SecurityThreatsDoS.md）

Microsoft Learn

• Azure DDoS Protection のドキュメント
  https://learn.microsoft.com/ja-jp/azure/ddos-protection/

---

Tags: 移行, インフラストラクチャ, クラウド, Azure, バックアップ, 障害対応