我有一个托管在 Azure 预配虚拟机 (Ubuntu OS) 上的基于 Django 的 Web 应用程序。我的应用最近遭遇了 DDoS 攻击，我们对此束手无策。
问题在于，一旦流量到达服务器 - 即使它在防火墙处被阻止或在我的网络服务器中受到限制 - 流量已经在消耗我的网络带宽。我对此无能为力。这需要在为我的服务器提供服务的路由设备中“上游”阻止。
Azure 可以为我提供任何 DDoS 保护吗？或者至少，就如何部署我的应用程序提出建议，使其更能抵抗这些攻击？请指教。
【问题讨论】：
标签： azure
目前，Azure 在网络级别提供 DDOS 保护，但不在应用程序级别。因此，例如，如果您收到一堆 ACK 请求，则应该由平台本身阻止。
对于应用级 DDOS 保护，您需要考虑上游提供商，例如 Incapsula 或 Silverline。集成它们非常容易。示例见https://www.incapsula.com/blog/how-to-add-incapsula-to-your-microsoft-azure-instance.html。
基本上，您将设置 Incapsula 并使用 Web 应用程序的 DNS 标签 (something.azurewebsites.net) 对其进行配置。然后，您的 DNS (www.domain.com) 将指向 incapsula 服务，其余的将由他们处理。
请注意，将 DDOS 与服务分开仍然允许对服务本身进行攻击（即：如果有人点击 something.azurewebsites.net，那么 Incapsula 将不会保护此流量）。
希望有帮助！
【讨论】：
首先：Azure 允许 IP 白名单（或黑名单），因此您可以将恶意 IP 地址添加到传入流量的阻止列表（例如端口 80/443）。您可以通过编程方式修改 IP 地址/范围。这应该可以防止流量访问您的网络应用程序。 注意：这是特定于您正在使用的 Azure 虚拟机的。
第二：Azure 提供 Azure 安全中心，旨在检测 DoS 攻击、入侵攻击等。不是说它解决了你的问题，但它可以用来提醒你问题。
【讨论】：
使用 incapsula 将是您的正确答案，因为 incapsula 会隐藏您的原始 ip 并在攻击到达 Azure 之前缓解攻击。
此外，它还提供 CDN 和缓存，帮助我们节省 AWS 上的带宽成本，让我们的应用程序运行得更快。
【讨论】：