Dostawca oprogramowania, CloudPatch, używa Azure Firewall do zarządzania wychodzącymi aktualizacjami systemu operacyjnego dla setek serwerów Windows. Chcą zezwolić na ruch aktualizacji Windows Update, Microsoft Update i Windows Defender, ale zablokować cały inny ruch wychodzący do Internetu. Która konfiguracja Azure Firewall wykorzystująca tagi FQDN jest najbardziej łatwym w utrzymaniu i bezpiecznym podejściem?

Poprawna odpowiedź jest najbardziej łatwym w utrzymaniu i bezpiecznym podejściem, ponieważ tagi FQDN Azure Firewall, takie jak 'WindowsUpdate', automatycznie zarządzają listą wymaganych nazw domen dla aktualizacji Windows, Microsoft Update i Windows Defender. Obejmuje to również tag 'AzureActiveDirectory' dla uwierzytelniania, co jest kluczowe dla wielu usług Microsoft. Blokowanie całego innego ruchu wychodzącego za pomocą reguły DENY o wyższym priorytecie zapewnia maksymalne bezpieczeństwo. Pierwsza opcja jest niepoprawna, ponieważ tag 'AzureService' jest zbyt szeroki i może zezwalać na niepotrzebny ruch. Trzecia opcja jest nieefektywna i trudna w utrzymaniu, ponieważ wymaga ręcznego zarządzania zmieniającymi się nazwami hostów. Czwarta opcja jest nieodpowiednia, ponieważ NSG działają na poziomie sieci i adresów IP, a nie FQDN, i nie zapewniają granularnej kontroli aplikacji, jaką oferuje Azure Firewall.