一个关键业务 Web 应用程序通过 Azure Application Gateway (WAF) 发布，并在中心辐射型拓扑中受 Azure Firewall 保护。您必须为应用程序的公共端点实现自动 L3/L4 DDoS 缓解，收集详细的攻击遥测数据以进行调查，并改进对已知恶意 IP 的阻止。您应该实施什么？

此选项通过在托管 Application Gateway 公共 IP 的 VNet 上启用 Azure DDoS Protection Standard 来提供自动 L3/L4 DDoS 缓解，这是保护公共 IP 资源的推荐方法。将 DDoS 诊断和指标发送到 Log Analytics 可实现详细的攻击遥测和调查。配置 Azure Firewall Policy 并将威胁情报设置为“警报和拒绝”可改进对已知恶意 IP 的阻止。其他选项不满足所有要求：Azure Front Door Premium 不提供 L3/L4 缓解，NSG 流日志和流量分析不提供自动 DDoS 缓解，仅将 DDoS IP Protection 应用于 Azure Firewall 公共 IP 会使 Application Gateway 暴露，而第三方 DDoS 虚拟设备则增加了复杂性且可能与 Azure DDoS Protection 重叠。