Ein Unternehmen benötigt ausgehende TLS-Inspektion für den SaaS-Zugriff und Intrusion Detection/Prevention für den Ost-West-Datenverkehr zwischen VNets. Ein zentrales Sicherheitsteam muss globale Regeln durchsetzen, während regionale Teams Ausnahmen hinzufügen dürfen. Welches Azure Firewall-Design sollten Sie empfehlen?

Die korrekte Option ist Azure Firewall Premium mit aktivierter TLS-Inspektion und IDPS, unter Verwendung einer übergeordneten Firewall Policy in der Managementgruppe und regionsspezifischer untergeordneter Policies für lokale Regeln. Azure Firewall Premium ist die einzige Firewall-Tier, die TLS-Inspektion und IDPS (Intrusion Detection and Prevention System) bietet, welche für die genannten Anforderungen unerlässlich sind. Die hierarchische Policy-Struktur mit übergeordneten und untergeordneten Policies ermöglicht es dem zentralen Sicherheitsteam, globale Regeln durchzusetzen, während regionale Teams spezifische Ausnahmen hinzufügen können, da untergeordnete Policies Regeln von übergeordneten Policies erben und erweitern können. Azure Firewall Standard unterstützt keine TLS-Inspektion oder IDPS. NSG-Flow-Logs sind keine vollwertige Intrusion Detection-Lösung. Azure Firewall Premium in jedem VNet mit eigenständigen Regelsammlungen würde die zentrale Durchsetzung globaler Regeln erschweren und die Verwaltung komplex machen. Eine Drittanbieter-NVA könnte die Anforderungen erfüllen, aber die Frage zielt auf eine Azure Firewall-Lösung ab und Azure Firewall bietet die genannten Funktionen. Azure Firewall Basic unterstützt weder TLS-Inspektion noch IDPS.