Contoso Ltd. ha implementado Azure Firewall Premium en una red virtual hub para proteger el tráfico de entrada y salida de múltiples VNets. El equipo de seguridad debe detectar y bloquear ataques de inyección SQL sobre TLS para el tráfico que pasa a través del firewall. Requieren IDPS basado en firmas e inspección TLS para el tráfico este-oeste y norte-sur, pero no deben descifrar el tráfico a los servidores SQL de backend que utilizan autenticación de certificado de cliente. ¿Qué configuración cumple con el requisito con un riesgo mínimo para los flujos protegidos por certificado de cliente?

La opción correcta permite la inspección TLS para el tráfico general (norte-sur y este-oeste) y la detección de inyección SQL, mientras excluye específicamente el tráfico a los servidores SQL de backend de la inspección TLS. La lista de exclusión de inspección TLS en Azure Firewall Premium permite especificar FQDNs y OIDs de certificados de cliente, lo cual es crucial para evitar la interrupción de la autenticación de certificado de cliente. Las otras opciones son incorrectas porque: la detección basada en anomalías no es suficiente para inyección SQL, el descifrado TLS completo rompería la autenticación de certificado de cliente; el bypass de DNAT evita que el firewall inspeccione el tráfico a los servidores SQL, lo cual es contrario al requisito de protección; deshabilitar las reglas de firma y depender de los logs de NSG no proporciona la detección y bloqueo en tiempo real requeridos.