Uma empresa exige inspeção TLS de saída para acesso SaaS e detecção/prevenção de intrusões para tráfego leste-oeste entre VNets. Uma equipe de segurança central deve aplicar regras globais, permitindo que as equipes regionais adicionem exceções. Qual design do Azure Firewall você deve recomendar?

A opção correta atende a todos os requisitos: o Azure Firewall Premium oferece inspeção TLS para tráfego de saída SaaS e IDPS (Intrusion Detection and Prevention System) para tráfego leste-oeste. A hierarquia de políticas pai/filho, gerenciada por meio de grupos de gerenciamento e políticas regionais, permite que a equipe de segurança central defina regras globais (política pai) e as equipes regionais adicionem exceções específicas (políticas filhas), garantindo governança e flexibilidade. As outras opções são incorretas porque: O Azure Firewall Standard não possui inspeção TLS nem IDPS. O Azure Firewall Premium em cada VNet sem hierarquia de políticas dificulta a aplicação de regras globais e a gestão centralizada. Um NVA de terceiros pode atender aos requisitos, mas o Azure Firewall é a solução nativa e mais integrada para este cenário. O Azure Firewall Basic não oferece inspeção TLS nem IDPS.