Компания Contoso Ltd. развернула Azure Firewall Premium в виртуальной сети-хабе для защиты входящего и исходящего трафика для нескольких виртуальных сетей. Команда безопасности должна обнаруживать и блокировать атаки SQL-инъекций по TLS для трафика, проходящего через брандмауэр. Им требуется IDPS на основе сигнатур и инспекция TLS для трафика восток-запад и север-юг, но они не должны расшифровывать трафик к внутренним серверам SQL, которые используют аутентификацию по клиентским сертификатам. Какая конфигурация соответствует требованиям с минимальным риском для потоков, защищенных клиентскими сертификатами?

Правильный ответ — включить политику IDPS с обнаружением на основе сигнатур и установить режим инспекции TLS в 'Allow list'; добавить FQDN внутренних серверов SQL и OID клиентских сертификатов в список исключений инспекции TLS. Azure Firewall Premium поддерживает IDPS на основе сигнатур для обнаружения и блокировки атак, включая SQL-инъекции. Инспекция TLS необходима для анализа зашифрованного трафика. Режим "Allow list" позволяет выборочно инспектировать трафик, а добавление FQDN серверов SQL и OID клиентских сертификатов в список исключений для инспекции TLS гарантирует, что трафик к этим серверам не будет дешифроваться, сохраняя целостность аутентификации по клиентским сертификатам. Остальные варианты не подходят, так как: Обнаружение на основе аномалий менее эффективно для известных атак, а полное дешифрование TLS нарушит аутентификацию по клиентским сертификатам. Режим "Inspect all" также нарушит аутентификацию, а обход DNAT не позволит брандмауэру защищать трафик. Отключение правил сигнатур IDPS и полагание на журналы потоков NSG не обеспечит активную защиту от SQL-инъекций и не решит проблему инспекции TLS.