Krytyczna aplikacja internetowa jest publikowana za pośrednictwem usługi Azure Application Gateway (WAF) i chroniona przez usługę Azure Firewall w topologii hub-and-spoke. Musisz osiągnąć automatyczne łagodzenie ataków DDoS L3/L4 dla publicznych punktów końcowych aplikacji, zbierać szczegółowe dane telemetryczne ataków do celów dochodzeniowych i poprawić blokowanie znanych złośliwych adresów IP. Co należy zaimplementować?

Prawidłowa odpowiedź spełnia wszystkie wymagania. Azure DDoS Protection Standard zapewnia automatyczne łagodzenie ataków DDoS L3/L4 dla publicznych adresów IP Application Gateway, w tym adaptacyjne dostrajanie. Wysyłanie diagnostyki i metryk do Log Analytics umożliwia zbieranie szczegółowych danych telemetrycznych ataków i konfigurację alertów. Konfiguracja Azure Firewall Policy z Threat Intelligence ustawionym na Alert i Deny poprawia blokowanie znanych złośliwych adresów IP, działając jako dodatkowa warstwa obrony. Pozostałe opcje są nieprawidłowe, ponieważ: Azure Front Door Premium z WAF nie zapewnia kompleksowej ochrony DDoS L3/L4 dla wszystkich publicznych punktów końcowych w sieci wirtualnej i nie zastępuje Azure DDoS Protection Standard. NSG Flow Logs v2 i Traffic Analytics służą do monitorowania ruchu sieciowego, a nie do automatycznego łagodzenia ataków DDoS. DDoS IP Protection (podstawowa ochrona) jest mniej kompleksowa niż DDoS Protection Standard i chroni tylko jeden publiczny adres IP, a nie całą usługę Application Gateway. Wdrożenie wirtualnego urządzenia DDoS innej firmy zwiększa złożoność i koszty, a Azure DDoS Protection Standard jest natywnym i zalecanym rozwiązaniem.