Várias VMs atrás de NSGs permitem amplo acesso de entrada da Internet. Você deseja minimizar as portas expostas usando a inteligência do Defender for Cloud e aplicar as regras mais restritas diretamente aos NSGs. O que você deve fazer?

A opção correta é usar o Adaptive network hardening (Endurecimento adaptável de rede) no Defender for Cloud. Essa funcionalidade analisa o tráfego de rede real para suas VMs e sub-redes, identificando portas e protocolos que são realmente usados. Com base nessa análise, ele recomenda as regras de NSG mais restritivas necessárias para permitir apenas o tráfego legítimo, minimizando a superfície de ataque. Substituir NSGs por Azure Firewall é uma solução mais complexa e cara que não aborda diretamente a minimização de portas expostas de forma adaptativa. Habilitar a proteção Azure DDoS Standard protege contra ataques DDoS, mas não restringe o acesso de entrada a portas específicas. Adicionar uma regra de NSG de alta prioridade para RFC1918 não restringe o acesso da Internet e pode bloquear tráfego legítimo. Criar uma Azure Policy que negue regras de NSG da Internet é muito genérico e não permite o tráfego necessário, exigindo correções manuais constantes.