Un'applicazione web mission-critical è pubblicata tramite Azure Application Gateway (WAF) e protetta da Azure Firewall in una topologia hub-and-spoke. È necessario ottenere la mitigazione automatica DDoS L3/L4 per gli endpoint pubblici dell'app, raccogliere telemetria dettagliata sugli attacchi per le indagini e migliorare il blocco degli IP dannosi noti. Cosa si dovrebbe implementare?

Questa opzione è corretta perché Azure DDoS Protection Standard offre mitigazione automatica DDoS L3/L4, telemetria dettagliata e integrazione con Log Analytics per avvisi e analisi. L'abilitazione sulla VNet che ospita gli IP pubblici di Application Gateway protegge l'endpoint esposto. La configurazione di Azure Firewall Policy con Threat Intelligence su "Alert and Deny" migliora il blocco degli IP dannosi noti, soddisfacendo tutti i requisiti. Le altre opzioni sono errate perché: Azure Front Door Premium con WAF non fornisce una mitigazione DDoS L3/L4 completa come DDoS Protection Standard. NSG Flow Logs e Traffic Analytics non offrono mitigazione DDoS automatica. Applicare DDoS IP Protection solo all'IP pubblico di Azure Firewall lascerebbe Application Gateway non protetto. Le appliance virtuali di terze parti aggiungono complessità e costi, mentre Azure DDoS Protection è una soluzione nativa e integrata.