미션 크리티컬 웹 애플리케이션이 Azure Application Gateway(WAF)를 통해 게시되고 허브-스포크 토폴로지의 Azure Firewall에 의해 보호됩니다. 앱의 공용 엔드포인트에 대한 자동 L3/L4 DDoS 완화를 달성하고, 조사를 위한 상세한 공격 원격 분석을 수집하며, 알려진 악성 IP 차단을 개선해야 합니다. 무엇을 구현해야 할까요?

정답은 Azure DDoS Protection Standard를 활성화하고, DDoS 진단 및 메트릭을 Log Analytics로 보내고 경고를 구성하며, 위협 인텔리전스를 경고 및 거부로 설정하여 Azure Firewall Policy를 구성하는 것입니다. Azure DDoS Protection Standard는 L3/L4 자동 완화를 제공하고 상세한 공격 원격 분석을 Log Analytics로 보낼 수 있게 합니다. Azure Firewall Policy의 위협 인텔리전스는 알려진 악성 IP를 차단하여 추가적인 보호 계층을 제공합니다. 다른 옵션들은 요구 사항을 완전히 충족하지 못합니다. Azure Front Door Premium은 L7 보호를 제공하지만, L3/L4 DDoS 완화 및 상세한 원격 분석에 대한 요구 사항을 완전히 대체하지 못합니다. NSG Flow Logs는 트래픽 분석에 유용하지만, 자동 DDoS 완화를 제공하지 않습니다. Azure Firewall 공용 IP에만 DDoS IP Protection을 적용하는 것은 Application Gateway를 보호하지 못하며, 타사 DDoS 가상 어플라이언스는 Azure의 기본 DDoS 보호 기능을 중복시키거나 관리 복잡성을 증가시킬 수 있습니다.