Um fornecedor de software, CloudPatch, usa o Azure Firewall para gerenciar atualizações de SO de saída para centenas de servidores Windows. Eles querem permitir o tráfego de atualização do Windows Update, Microsoft Update e Windows Defender, mas negar todo o restante do tráfego de saída da internet. Qual configuração do Azure Firewall usando tags FQDN é a abordagem mais fácil de manter e segura?

A opção correta é a mais fácil de manter e segura porque as tags FQDN do Azure Firewall, como 'WindowsUpdate' e 'AzureActiveDirectory', são gerenciadas pela Microsoft e atualizadas automaticamente, garantindo que as regras de firewall permaneçam eficazes sem intervenção manual para novos domínios ou alterações de IP. Permitir portas 80/443 é essencial para o tráfego web seguro. Uma regra DENY de prioridade mais alta garante que apenas o tráfego explicitamente permitido possa sair. A opção incorreta de usar 'AzureService' é muito ampla e permitiria mais tráfego do que o necessário. A opção de configurar uma lista de permissões FQDN explícita é difícil de manter devido às constantes mudanças nos domínios da Microsoft. A opção de usar regras NSG e intervalos de IP é menos flexível e não aproveita a capacidade de filtragem FQDN do Azure Firewall, que é mais granular e segura para este cenário.