Поставщик программного обеспечения CloudPatch использует Azure Firewall для управления исходящими обновлениями ОС для сотен серверов Windows. Они хотят разрешить трафик обновлений Windows Update, Microsoft Update и Windows Defender, но запретить весь остальной исходящий интернет-трафик. Какая конфигурация Azure Firewall с использованием FQDN tags является наиболее поддерживаемой и безопасной?

Правильный ответ позволяет использовать предопределенные FQDN-теги Azure Firewall для Windows Update и других служб Microsoft, что является наиболее поддерживаемым и безопасным подходом. Тег 'WindowsUpdate' включает в себя все необходимые FQDN для обновлений Windows, Microsoft Update и Windows Defender. Тег 'AzureActiveDirectory' необходим для аутентификации и других связанных служб. Разрешение портов 80/443 является стандартным для веб-трафика. Правило DENY с более высоким приоритетом гарантирует, что весь остальной исходящий трафик будет заблокирован, обеспечивая безопасность. Неправильные варианты: Использование 'AzureService' и 'AzureActiveDirectory' не является полным для обновлений Windows. Блокировка 0.0.0.0/0 не является правилом, а скорее общим диапазоном. Настройка широкого списка FQDN вручную требует постоянного обслуживания и менее надежна, чем использование FQDN-тегов. Использование NSG для диапазонов IP-адресов служб Microsoft не обеспечивает гранулярности на уровне FQDN и не является функцией Azure Firewall для этого сценария.