GreenCloud souhaite bloquer un petit ensemble d'adresses IP malveillantes et également limiter les clients abusifs par leur taux sur leur politique WAF pour une Application Gateway v2. Ils veulent aussi bloquer les requêtes provenant de certains pays. Quelle combinaison de règles WAF personnalisées devraient-ils implémenter pour répondre efficacement aux exigences de limitation de débit, de liste de blocage IP et de géofiltrage ?

La création de trois règles personnalisées distinctes est la solution la plus efficace et la plus granulaire. Une règle IPMatch (priorité 100) bloque immédiatement les adresses IP malveillantes connues. Une règle de limitation de débit (priorité 200) utilisant X-Forwarded-For permet de contrôler le trafic abusif par client, car X-Forwarded-For contient l'adresse IP d'origine du client derrière un proxy ou un équilibreur de charge. Enfin, une règle GeoMatch (priorité 300) gère le blocage par pays. Cette approche respecte l'ordre d'exécution des règles WAF (priorité la plus basse d'abord) et utilise les fonctionnalités spécifiques du WAF pour chaque exigence. Les autres options sont incorrectes car : Une seule règle IPMatch ne peut pas gérer le géofiltrage et la limitation de débit. La limitation de débit globale n'est pas aussi flexible que la limitation par client. L'utilisation d'une règle personnalisée de corps de requête pour la limitation de débit est inefficace et complexe. Les groupes de sécurité réseau (NSG) sont au niveau du réseau virtuel et ne sont pas adaptés pour le filtrage WAF au niveau de la couche 7. S'appuyer sur Azure Front Door est une solution valide pour le géofiltrage et la limitation de débit, mais la question spécifie l'utilisation du WAF de l'Application Gateway v2, et cette option ne répond pas à l'exigence de mise en œuvre de ces règles sur le WAF de l'Application Gateway.