Varias máquinas virtuales detrás de NSG permiten un amplio acceso de entrada desde Internet. Desea minimizar los puertos expuestos utilizando la inteligencia de Defender for Cloud y aplicar las reglas ajustadas directamente a los NSG. ¿Qué debería hacer?

La opción correcta es utilizar el endurecimiento de red adaptativo de Defender for Cloud. Esta característica analiza el tráfico de red real hacia y desde sus máquinas virtuales y recomienda reglas de NSG de entrada más restrictivas, ajustando los puertos expuestos solo a lo necesario. Al aplicar estas recomendaciones, se minimiza la superficie de ataque sin interrumpir las operaciones legítimas. Reemplazar los NSG con Azure Firewall es una solución más compleja y costosa que no se enfoca directamente en el ajuste de puertos NSG existentes. Habilitar Azure DDoS Standard protege contra ataques de denegación de servicio, no restringe el acceso de entrada a puertos específicos. Agregar una regla de NSG que permita solo fuentes RFC1918 bloquearía todo el tráfico legítimo desde Internet. Crear una Azure Policy para denegar reglas de NSG que permitan Internet es una medida demasiado drástica y reactiva, que no ofrece la inteligencia de tráfico para ajustar las reglas de forma adaptativa.