Plusieurs machines virtuelles derrière des groupes de sécurité réseau (NSG) autorisent un accès entrant étendu depuis Internet. Vous souhaitez minimiser les ports exposés en utilisant l'intelligence de Defender for Cloud et appliquer les règles renforcées directement aux NSG. Que devez-vous faire ?

L'option correcte est la seule qui utilise l'intelligence de Defender for Cloud pour minimiser les ports exposés et appliquer les règles renforcées directement aux NSG. Le renforcement adaptatif du réseau (Adaptive Network Hardening) dans Defender for Cloud analyse le trafic réseau réel, les règles NSG existantes et les informations sur les menaces pour recommander des règles de sécurité réseau plus restrictives. Ces recommandations peuvent ensuite être appliquées directement aux NSG, réduisant ainsi la surface d'attaque. Remplacer les NSG par Azure Firewall est une solution plus complexe et coûteuse qui ne répond pas directement à l'objectif d'utiliser l'intelligence de Defender for Cloud pour renforcer les NSG existants. Activer Azure DDoS Standard protège contre les attaques DDoS mais ne restreint pas l'accès entrant non sollicité de manière granulaire. Ajouter une règle NSG de haute priorité autorisant uniquement les sources RFC1918 (adresses IP privées) bloquerait tout accès légitime depuis Internet. Créer une Azure Policy pour refuser les règles NSG autorisant Internet nécessiterait des corrections manuelles et ne tirerait pas parti de l'intelligence de Defender for Cloud pour des recommandations spécifiques.