Kilka maszyn wirtualnych za sieciowymi grupami zabezpieczeń (NSG) zezwala na szeroki dostęp przychodzący z Internetu. Chcesz zminimalizować liczbę eksponowanych portów, korzystając z danych Defender for Cloud, i zastosować zaostrzone reguły bezpośrednio do NSG. Co należy zrobić?

Prawidłowa odpowiedź to Adaptive network hardening w Defender for Cloud. Ta funkcja analizuje rzeczywisty ruch sieciowy do i z maszyn wirtualnych oraz zaleca reguły NSG, które minimalizują otwarte porty, jednocześnie umożliwiając niezbędną komunikację. Zastosowanie tych zaleceń bezpośrednio aktualizuje NSG. Zastąpienie NSG zaporą Azure Firewall jest inną opcją zabezpieczeń, ale nie jest to bezpośrednie rozwiązanie problemu nadmiernie otwartych portów w istniejących NSG. Włączenie ochrony Azure DDoS Standard chroni przed atakami DDoS, a nie przed nadmiernie otwartymi portami. Dodanie reguły NSG zezwalającej tylko na źródła RFC1918 zablokowałoby cały ruch z Internetu, co jest zbyt restrykcyjne i uniemożliwiłoby legalny dostęp. Tworzenie Azure Policy, która odrzuca reguły zezwalające na dostęp z Internetu, jest podejściem reaktywnym i nie zapewnia dynamicznego zaostrzenia reguł w oparciu o użycie.