Une application web critique est publiée via Azure Application Gateway (WAF) et protégée par Azure Firewall dans une topologie hub-and-spoke. Vous devez assurer une atténuation DDoS L3/L4 automatique pour les points de terminaison publics de l'application, collecter des données de télémétrie détaillées sur les attaques pour les investigations, et améliorer le blocage des adresses IP malveillantes connues. Que devez-vous implémenter ?

La protection DDoS L3/L4 automatique pour les points de terminaison publics est fournie par Azure DDoS Protection Standard, qui doit être activée sur le réseau virtuel de l'Application Gateway. L'envoi des diagnostics et métriques DDoS à Log Analytics permet de collecter la télémétrie détaillée pour les investigations. La configuration de la stratégie Azure Firewall avec l'Intelligence des menaces définie sur Alerte et Refuser améliore le blocage des adresses IP malveillantes connues. Les autres options sont incorrectes car : Azure Front Door Premium ne remplace pas entièrement Azure DDoS Protection Standard pour la protection L3/L4 et la télémétrie DDoS spécifique. Les journaux de flux NSG v2 et Traffic Analytics fournissent des informations sur le trafic, mais n'offrent pas d'atténuation DDoS automatique. Appliquer DDoS IP Protection uniquement à l'adresse IP publique d'Azure Firewall ne protège pas l'Application Gateway directement exposée. Déployer une appliance virtuelle tierce est une solution plus complexe et coûteuse, et Azure DDoS Protection Standard est la solution native et recommandée.