Contoso Ltd. hat Azure Firewall Premium in einem Hub-VNet bereitgestellt, um den eingehenden und ausgehenden Datenverkehr für mehrere VNets zu schützen. Das Sicherheitsteam muss SQL-Injection-Angriffe über TLS für den Datenverkehr, der die Firewall passiert, erkennen und blockieren. Sie benötigen eine signaturbasierte IDPS- und TLS-Inspektion für den Ost-West- und Nord-Süd-Datenverkehr, dürfen aber den Datenverkehr zu Backend-SQL-Servern, die die Client-Zertifikatsauthentifizierung verwenden, nicht entschlüsseln. Welche Konfiguration erfüllt die Anforderung mit minimalem Risiko für clientzertifikatgeschützte Flows?

Die korrekte Option erfüllt alle Anforderungen. Azure Firewall Premium bietet signaturbasierte IDPS und TLS-Inspektion. Durch die Einstellung der TLS-Inspektion auf den Modus „Zulassungsliste“ und das Hinzufügen der FQDNs der Backend-SQL-Server sowie der Client-Zertifikat-OIDs zur Ausschlussliste wird sichergestellt, dass der Datenverkehr zu diesen spezifischen Servern nicht entschlüsselt wird, wodurch die Client-Zertifikatsauthentifizierung intakt bleibt. Gleichzeitig wird der restliche Datenverkehr auf SQL-Injection-Angriffe überprüft. Die zweite Option ist falsch, da anomaliebasierte Erkennung allein nicht ausreicht und die vollständige TLS-Entschlüsselung für alle Datenströme die Client-Zertifikatsauthentifizierung beeinträchtigen würde. Eine WAF vor den SQL-Servern würde die Anforderung, dass die Firewall den Datenverkehr schützt, nicht erfüllen. Die dritte Option ist falsch, da ein DNAT-Bypass für SQL-Server bedeutet, dass der Datenverkehr die Firewall nicht durchläuft und somit nicht durch IDPS geschützt wird. Die vierte Option ist falsch, da das Deaktivieren von IDPS-Signaturregeln und das Verlassen auf NSG-Flow-Logs keine proaktive Erkennung und Blockierung von SQL-Injection-Angriffen ermöglicht und die TLS-Inspektion deaktiviert bleibt.