はじめに

Azureでインターネット公開サービスを構築する際、避けて通れないのがDDoS対策です。

Azureには標準でDDoS対策（Basic）が組み込まれていますが、さらに高度な対策として以下の2つが提供されています。

DDoS IP Protection
DDoS Network Protection

本記事では、Microsoft公式ドキュメントに基づいて、
仕組み・課金・設計の本質をロジカルに解説します。

結論（最重要）

Basic → 無料の基盤防御
IP Protection → 小規模向け（IP単位）
Network Protection → 本番・大規模向け（VNet単位）

1. DDoS Protectionの3つのレベル

AzureのDDoS対策は以下の3レイヤーで構成されています。

Basic（インフラ保護）
IP Protection（Public IP単位）
Network Protection（VNet単位）

2. 機能比較（全体）

項目	Basic（インフラ保護）	IP Protection	Network Protection
提供レベル	Azure基盤	Public IP単位	VNet単位
課金	無料	有料	有料
防御対象	Azure全体	指定Public IP	VNet内Public IP
攻撃検知	基本	高度	高度
自動ミティゲーション	あり	あり	あり
トラフィックプロファイリング	なし	あり	あり
ログ/メトリクス	限定	あり	あり
アラート	なし	あり	あり
SLA	なし	なし	あり
コスト保護	なし	なし	あり
DRRサポート	なし	なし	あり

3. 防御ロジックの違い

■ Basic（インフラ保護）

Azureデータセンター全体での防御
L3/L4レベルの基本防御
SYN flood / UDP floodなど
Azure側で自動実施

👉 ユーザー操作不可

■ IP Protection

Public IP単位での防御
トラフィックベースライン学習
異常検知
自動ミティゲーション

■ Network Protection

VNet単位でのトラフィック分析・防御
VNet全体のトラフィックを学習
より高精度な検知
一元管理可能

4. 適用スコープの違い

■ Basic

Azure全体（自動適用）

■ IP Protection

Public IP単体

例：

VMのPublic IP
Load BalancerのPublic IP

■ Network Protection

VNetに紐づくすべてのPublic IP

VNet
 ├ VM
 ├ Azure Firewall
 ├ Application Gateway
 └ Load Balancer

5. 課金モデル比較

項目	Basic	IP Protection	Network Protection
課金単位	なし	Public IP	DDoS Plan
課金開始	-	IP適用時	Plan作成時
未使用課金	なし	なし	あり
Public IPなしでも課金	-	なし	あり
課金粒度	-	時間	時間

■ Network Protectionの特徴

1プランで100 IPまで固定料金

■ IP Protectionの特徴

Public IPの数に比例して課金

6. 検知・防御機能の詳細

機能	Basic	IP Protection	Network Protection
L3/L4攻撃防御	あり	あり	あり
SYN Flood防御	あり	あり	あり
UDP Amplification防御	あり	あり	あり
Adaptive Tuning	なし	あり	あり
自動しきい値調整	なし	あり	あり
トラフィック異常検知	基本	高度	高度

7. 運用・監視機能

機能	Basic	IP Protection	Network Protection
Azure Monitor連携	なし	あり	あり
メトリクス	なし	あり	あり
診断ログ	なし	あり	あり
アラート	なし	あり	あり
攻撃レポート	なし	あり	あり

8. エンタープライズ機能

機能	Basic	IP Protection	Network Protection
SLA保証	なし	なし	あり
Cost Protection	なし	なし	あり
DRR（DDoS Rapid Response）	なし	なし	あり

9. 適用判断ロジック

Public IPある？
 ↓
NO → Basicで十分
YES
 ↓
IP少ない？
 ↓
YES → IP Protection
NO → Network Protection

10. アーキテクチャ設計ベストプラクティス

■ 小規模

Public IP × 少数
→ IP Protection

■ 大規模

Internet
 ↓
Azure Firewall / Application Gateway
 ↓
VNet（Network Protection）

■ Hub-Spoke構成

Hub VNet
 ├ Firewall（Public IP）
 └ DDoS Plan

Spoke VNet
 └ Privateリソース

👉 DDoSは「入口」で防ぐ

11. よくある設計ミス

ミス	問題
Private環境にDDoS適用	無駄コスト
複数Plan作成	課金増加
Public IP分散	管理困難
防御対象の誤解	設計ミス

まとめ

① 防御対象はPublic IP
② NetworkはVNet単位、IPは単体
③ 課金はPlan or IP
④ 常時稼働型サービスではNetwork Protectionが基本選択