Eine geschäftskritische Webanwendung wird über Azure Application Gateway (WAF) veröffentlicht und durch Azure Firewall in einer Hub-and-Spoke-Topologie geschützt. Sie müssen eine automatische L3/L4-DDoS-Mitigation für die öffentlichen Endpunkte der Anwendung erreichen, detaillierte Angriffs-Telemetriedaten für Untersuchungen sammeln und das Blockieren bekannter bösartiger IPs verbessern. Was sollten Sie implementieren?

Die Aktivierung von Azure DDoS Protection Standard für das VNet, das die öffentlichen IPs des Application Gateways hostet, bietet automatische L3/L4-DDoS-Mitigation. Das Senden von DDoS-Diagnosen und -Metriken an Log Analytics ermöglicht detaillierte Angriffs-Telemetriedaten und die Konfiguration von Warnungen. Die Konfiguration der Azure Firewall Policy mit Threat Intelligence auf "Alert" und "Deny" verbessert das Blockieren bekannter bösartiger IPs. Die anderen Optionen sind unzureichend: Azure Front Door Premium bietet zwar WAF und DDoS-Schutz, aber die Anforderung ist, die bestehende Architektur zu verbessern, nicht zu ersetzen. Außerdem ist die Deaktivierung von Azure DDoS Protection nicht optimal. NSG Flow Logs v2 und Traffic Analytics bieten keine automatische DDoS-Mitigation. DDoS IP Protection nur auf die Azure Firewall anzuwenden, schützt das Application Gateway nicht direkt. Eine Drittanbieter-DDoS-Appliance ist komplexer und unnötig, da Azure native Lösungen bietet.