Contoso Ltd. ha implementato Azure Firewall Premium in una rete virtuale hub per proteggere il traffico in entrata e in uscita per più VNet. Il team di sicurezza deve rilevare e bloccare gli attacchi di SQL injection su TLS per il traffico che attraversa il firewall. Richiedono IDPS basato su firma e ispezione TLS per il traffico est-ovest e nord-sud, ma non devono decifrare il traffico verso i server SQL di backend che utilizzano l'autenticazione con certificato client. Quale configurazione soddisfa il requisito con il minimo rischio per i flussi protetti da certificato client?

La configurazione corretta soddisfa i requisiti perché Azure Firewall Premium con IDPS basato su firma può rilevare attacchi SQL injection. L'ispezione TLS in modalità "Allow list" (lista consentiti) consente di specificare quali connessioni devono essere ispezionate, mentre l'aggiunta degli FQDN dei server SQL di backend e degli OID dei certificati client all'elenco di esclusione dell'ispezione TLS garantisce che il traffico autenticato tramite certificato client non venga decifrato, minimizzando il rischio. Le altre opzioni sono meno adatte: L'IDPS basato su anomalie potrebbe non rilevare specifici attacchi SQL injection e la decrittografia TLS completa per tutto il traffico interromperebbe l'autenticazione basata su certificati client. L'ispezione TLS in modalità "Inspect all" decifrerebbe il traffico dei server SQL, causando problemi con l'autenticazione basata su certificati. Un bypass DNAT impedirebbe al firewall di ispezionare il traffico per SQL injection. Disabilitare le regole di firma IDPS per SQL e affidarsi ai log NSG non fornirebbe una protezione attiva contro gli attacchi SQL injection.