L'abbonamento include tre IP pubblici: uno su Application Gateway v2 per un portale clienti, uno su un Load Balancer Standard per AKS e un IP di test. Il budget è limitato. È necessario proteggere solo i due IP critici dagli attacchi DDoS volumetrici e ottenere metriche di attacco e report di mitigazione. Cosa si dovrebbe fare?

L'opzione corretta è abilitare DDoS IP Protection sulle due risorse IP pubbliche critiche perché offre protezione DDoS a livello di risorsa, che si allinea al requisito di proteggere solo i due IP critici, rispettando il vincolo di budget. Questa soluzione fornisce anche metriche di attacco e report di mitigazione, specialmente se i log diagnostici e le metriche DDoS vengono inviati a Log Analytics. Le altre opzioni sono meno appropriate: Abilitare DDoS Network Protection sulla VNet hub proteggerebbe tutti gli IP pubblici associati a quella VNet, ma non necessariamente tutti gli IP pubblici dell'abbonamento, e potrebbe essere eccessivo per il requisito di proteggere solo due IP. Affidarsi alle protezioni DDoS di base della piattaforma non offre metriche di attacco o report di mitigazione dettagliati e non è sufficiente per attacchi volumetrici avanzati. Il WAF su Application Gateway protegge solo a livello applicativo (L7), non DDoS L3/4. Posizionare entrambi gli endpoint dietro Azure Front Door offre protezione DDoS, ma il requisito è di proteggere gli IP esistenti, e Front Door aggiunge un livello di complessità e costo che potrebbe non essere necessario dato il vincolo di budget. Azure Monitor è uno strumento di monitoraggio e osservabilità, non un servizio di mitigazione DDoS. Non può mitigare gli attacchi DDoS da solo.