ある企業が Azure 上の公開 Web アプリケーションを運営している。大量の偽トラフィックを送り付けてサービスを停止させる攻撃からアプリケーションを保護したい。最小限の構成変更で保護を有効化できる Azure サービスはどれか。
- A. Azure DDoS Protection — ネットワーク層の大量トラフィック攻撃を自動的に緩和する
- B. Azure Firewall — L3/L4 のトラフィックをルールでフィルタリングする
- C. Azure Network Security Group (NSG) — 仮想ネットワーク内のポート通信を制御する
- D. Azure Web Application Firewall (WAF) — HTTP レベルの攻撃ルールを適用する
解答と解説を見る
正解: A
DDoS（Distributed Denial of Service）攻撃は大量の偽トラフィックでサービスを停止させる攻撃であり、Azure DDoS Protection がその緩和専用サービスである。Basic プランは Azure インフラに自動適用され、Standard プランは VNet に関連付けるだけで適応型チューニングとアラートが有効になる。選択肢Bの Azure Firewall は L3/L4 のルールベースフィルタリングであり、大量トラフィックによる容量枯渇型 DDoS 攻撃の緩和は専門としていない。選択肢DのWAF は SQLインジェクションや XSS などアプリ層（L7）の攻撃を対象とし、帯域幅を圧迫する DDoS 攻撃の吸収には不向きである。選択肢Cの NSG はポートとIPのアクセス制御を行うが、大量トラフィックそのものを自動判定・吸収する機能はない。