Критически важное веб-приложение опубликовано через Azure Application Gateway (WAF) и защищено Azure Firewall в топологии «звезда-спица». Вам необходимо обеспечить автоматическое смягчение L3/L4 DDoS-атак для общедоступных конечных точек приложения, собирать подробные данные телеметрии атак для расследований и улучшить блокировку известных вредоносных IP-адресов. Что следует реализовать?

Azure DDoS Protection Standard обеспечивает автоматическое смягчение L3/L4 DDoS-атак для общедоступных IP-адресов, включая те, что используются Application Gateway, и предоставляет подробную телеметрию для Log Analytics. Настройка политики Azure Firewall с Threat Intelligence в режиме Alert и Deny позволяет блокировать известные вредоносные IP-адреса, дополняя защиту от DDoS. Использование только Azure Front Door Premium с WAF не обеспечивает комплексной защиты L3/L4 от DDoS-атак, так как WAF в основном ориентирован на L7. NSG Flow Logs v2 и Traffic Analytics полезны для мониторинга трафика, но не обеспечивают автоматического смягчения DDoS-атак. Применение DDoS IP Protection только к Azure Firewall не защитит Application Gateway напрямую. Развертывание стороннего устройства усложняет управление и может быть избыточным, учитывая возможности Azure DDoS Protection Standard.