Ihr Abonnement verfügt über drei öffentliche IPs: eine auf Application Gateway v2 für ein Kundenportal, eine auf einem Standard Load Balancer für AKS und eine Test-IP. Das Budget ist begrenzt. Sie müssen nur die beiden kritischen IPs vor volumetrischen DDoS-Angriffen schützen und Angriffsmetriken sowie Minderungsberichte erhalten. Was sollten Sie tun?

Die Aktivierung von DDoS IP Protection für die beiden kritischen öffentlichen IP-Ressourcen ist die kostengünstigste Lösung, da sie nur die benötigten IPs schützt und nicht das gesamte VNet. Das Streamen von Diagnoseprotokollen und Metriken an Log Analytics ermöglicht die Erfassung von Angriffsmetriken und Minderungsberichten. DDoS Network Protection im Hub-VNet würde alle IPs schützen, auch die Test-IP, was unnötige Kosten verursacht. Basic DDoS-Schutz ist nicht ausreichend für volumetrische Angriffe, und WAF schützt nur auf Anwendungsebene (L7), nicht L3/4. Azure Front Door bietet zwar DDoS-Schutz, ist aber für diesen spezifischen Anwendungsfall zu umfassend und teuer, da nur zwei IPs geschützt werden müssen. Azure Monitor allein bietet keine DDoS-Minderung.