Azure DDoS Protection

Définition

Azure DDoS Protection est un service de protection contre les attaques par déni de service distribué (DDoS) pour les ressources déployées dans des VNets Azure. Il se décline en deux niveaux : DDoS Infrastructure Protection (inclus gratuitement dans tous les services Azure, protection basique contre les attaques volumétriques communes) et DDoS Network Protection (anciennement DDoS Standard, protection avancée avec télémétrie, alertes et support de l'équipe DDoS Rapid Response). DDoS Network Protection surveille en permanence le trafic réseau des ressources protégées et utilise des algorithmes de machine learning pour établir des baselines de trafic normal. Lors d'une attaque détectée, la mitigation s'active automatiquement pour absorber le trafic d'attaque avant qu'il n'atteigne les ressources Azure, sans interruption de service ni modification de configuration. Les types d'attaques DDoS couverts incluent : les attaques volumétriques (inondation UDP/ICMP, amplification DNS/NTP qui peuvent atteindre des centaines de Gbps), les attaques de protocole (SYN floods, fragmentation de paquets), et les attaques applicatives de couche 7 (HTTP floods - nécessitent Azure WAF en complément pour une protection complète). La télémétrie DDoS Network Protection fournit des métriques en temps réel dans Azure Monitor : trafic entrant/sortant, statut d'attaque, paquets droppés, politiques de mitigation actives. Des alertes personnalisées sur ces métriques permettent de notifier les équipes de sécurité dès le début d'une attaque. La Service Credit Guarantee d'Azure DDoS Network Protection garantit un remboursement sous forme de crédits Azure si une attaque non mitigée provoque une mise à l'échelle automatique ou une dégradation des performances, couvrant ainsi les coûts supplémentaires liés à l'attaque.