Mehrere VMs hinter NSGs erlauben umfassenden eingehenden Zugriff aus dem Internet. Sie möchten die exponierten Ports mithilfe von Defender for Cloud Intelligence minimieren und die verschärften Regeln direkt auf die NSGs anwenden. Was sollten Sie tun?

Die adaptive Netzwerkhärtung in Defender for Cloud analysiert den tatsächlichen Netzwerkverkehr und die Bedrohungsdaten, um intelligente Empfehlungen für NSG-Regeln zu geben. Durch das Anwenden dieser Empfehlungen werden die NSGs automatisch aktualisiert, um nur die tatsächlich benötigten Ports und Quell-IP-Adressen zuzulassen, was die Angriffsfläche minimiert. Das Ersetzen von NSGs durch Azure Firewall wäre eine umfassendere, aber auch aufwändigere und teurere Lösung, die nicht direkt die Minimierung exponierter Ports auf NSG-Ebene adressiert. Azure DDoS Standard-Schutz schützt vor Distributed Denial of Service-Angriffen, schränkt aber nicht den legitimen eingehenden Zugriff auf bestimmte Ports ein. Das Hinzufügen einer NSG-Regel, die nur RFC1918-Quellen zulässt, würde den gesamten Internetzugriff blockieren, was nicht dem Ziel entspricht, exponierte Ports zu minimieren, während der notwendige Zugriff erhalten bleibt. Eine Azure Policy, die Internetzugriff ablehnt, würde manuelle Korrekturen erfordern und ist nicht so dynamisch und intelligent wie die adaptive Netzwerkhärtung.