Ваша подписка имеет три публичных IP-адреса: один на Application Gateway v2 для клиентского портала, один на Standard Load Balancer для AKS и один тестовый IP-адрес. Бюджет ограничен. Вам необходимо защитить только два критически важных IP-адреса от объемных DDoS-атак и получать метрики атак и отчеты о смягчении последствий. Что вы должны сделать?

Правильный ответ — включить DDoS IP Protection на двух критически важных ресурсах публичных IP-адресов и передавать диагностические журналы и метрики DDoS в Log Analytics для отчетности. DDoS IP Protection предназначен для защиты отдельных публичных IP-адресов, что соответствует требованию защиты только двух критически важных IP-адресов. Передача журналов и метрик в Log Analytics обеспечивает необходимые отчеты и метрики атак. Неправильные варианты: DDoS Network Protection защищает все ресурсы в виртуальной сети, а не только отдельные IP-адреса, и он дороже, чем защита отдельных IP-адресов. Кроме того, он не защищает IP-адреса, не привязанные к этой VNet. Базовая защита от DDoS платформы не предоставляет метрики атак и отчеты о смягчении последствий, а WAF на Application Gateway защищает только на уровне L7, а не от объемных атак L3/4. Azure Front Door может обеспечить некоторую защиту, но он не является основным решением для защиты от DDoS на уровне L3/4 для исходных IP-адресов, и он не отменяет необходимость в DDoS IP Protection для них. Azure Monitor сам по себе не смягчает DDoS-атаки; он используется для мониторинга и сбора данных.