Una aplicación web de misión crítica se publica a través de Azure Application Gateway (WAF) y está protegida por Azure Firewall en una topología hub-and-spoke. Debe lograr la mitigación automática de DDoS L3/L4 para los puntos de conexión públicos de la aplicación, recopilar telemetría detallada de ataques para investigaciones y mejorar el bloqueo de IP maliciosas conocidas. ¿Qué debe implementar?

La opción correcta aborda todos los requisitos. Azure DDoS Protection Standard proporciona mitigación automática de DDoS L3/L4 para las IP públicas dentro de la VNet, incluyendo la de Application Gateway. Enviar diagnósticos y métricas a Log Analytics permite la recopilación de telemetría detallada y la configuración de alertas. Configurar la política de Azure Firewall con Threat Intelligence en "Alert" y "Deny" mejora el bloqueo de IP maliciosas conocidas. Las otras opciones son incorrectas porque: Azure Front Door Premium es una buena opción para aplicaciones globales, pero la pregunta especifica una topología hub-and-spoke existente con Application Gateway y no menciona la necesidad de una CDN global. Además, confiar solo en WAF para toda la mitigación L3/L4 es insuficiente. NSG Flow Logs y Traffic Analytics son para visibilidad del tráfico, no para mitigación automática de DDoS. Aplicar DDoS IP Protection solo a la IP pública de Azure Firewall deja desprotegida la IP pública de Application Gateway, que es el punto de entrada de la aplicación web. Implementar un dispositivo virtual de terceros añade complejidad y costes, y Azure DDoS Protection Standard ya ofrece la funcionalidad requerida de forma nativa.