A Contoso Ltda. implantou o Azure Firewall Premium em uma rede virtual hub para proteger o tráfego de entrada e saída para várias VNets. A equipe de segurança deve detectar e bloquear ataques de injeção de SQL via TLS para o tráfego que passa pelo firewall. Eles exigem IDPS baseado em assinatura e inspeção TLS para tráfego leste-oeste e norte-sul, mas não devem descriptografar o tráfego para servidores SQL de backend que usam autenticação de certificado de cliente. Qual configuração atende ao requisito com risco mínimo para fluxos protegidos por certificado de cliente?

A opção correta permite a detecção de injeção de SQL via TLS usando IDPS baseado em assinatura e inspeção TLS, enquanto evita a descriptografia do tráfego para servidores SQL com autenticação de certificado de cliente. Adicionar FQDNs de servidor SQL de backend e OIDs de certificado de cliente à lista de exclusão de inspeção TLS no modo 'Allow list' garante que esses fluxos críticos não sejam interrompidos, mantendo a segurança para o restante do tráfego. A opção incorreta de IDPS baseado em anomalias e descriptografia TLS completa não atende ao requisito de evitar a descriptografia para servidores SQL com autenticação de certificado de cliente. A opção de 'Inspect all' com bypass de DNAT não é ideal, pois o bypass significa que o tráfego não será inspecionado pelo firewall. Desabilitar as regras de assinatura IDPS e confiar apenas nos logs do NSG é uma abordagem reativa e não proativa, que não atende aos requisitos de detecção e bloqueio.