Несколько виртуальных машин за NSG разрешают широкий входящий доступ из Интернета. Вы хотите минимизировать количество открытых портов, используя аналитику Defender for Cloud, и применить ужесточенные правила непосредственно к NSG. Что вы должны сделать?

Правильный ответ — использование адаптивного усиления сети (Adaptive network hardening) в Defender for Cloud. Этот инструмент анализирует фактический трафик и существующие правила NSG, чтобы рекомендовать минимально необходимый набор правил, тем самым сокращая поверхность атаки. Он позволяет применить эти рекомендации непосредственно к NSG. Замена NSG на Azure Firewall — это возможное решение, но оно не использует аналитику Defender for Cloud и является более сложным изменением, чем требуется. Включение Azure DDoS Standard protection защищает от DDoS-атак, но не уменьшает количество открытых портов. Добавление правила NSG, разрешающего только источники RFC1918, не решает проблему широкого входящего доступа из Интернета. Создание Azure Policy для запрета правил NSG требует ручного исправления и не использует аналитику трафика для оптимизации правил.