Bir yazılım satıcısı olan CloudPatch, yüzlerce Windows sunucusu için giden işletim sistemi güncellemelerini yönetmek üzere Azure Firewall kullanır. Windows Update, Microsoft Update ve Windows Defender güncelleme trafiğine izin vermek ancak diğer tüm internet çıkışlarını engellemek istiyorlar. FQDN etiketlerini kullanan hangi Azure Firewall yapılandırması en sürdürülebilir ve güvenli yaklaşımdır?

Doğru seçenek, Windows Update, Microsoft Update ve Windows Defender güncellemeleri için gerekli FQDN etiketlerini (WindowsUpdate, Windows) ve kimlik doğrulama için AzureActiveDirectory etiketini kullanarak 80/443 portlarından gelen trafiğe izin veren uygulama kuralları oluşturur. Bu, gerekli trafiğe izin verirken, daha yüksek öncelikli bir DENY kuralı ile diğer tüm internet çıkışlarını engeller. Bu yaklaşım, FQDN etiketlerinin dinamik yapısı sayesinde sürdürülebilirliği artırır ve Microsoft'un IP adresleri değişse bile manuel güncelleme ihtiyacını ortadan kaldırır. Diğer seçenekler neden yanlış: İlk seçenek, AzureService etiketini ekleyerek gereksiz yere geniş bir erişim sağlar ve bu da güvenliği azaltır. Üçüncü seçenek, FQDN etiketleri yerine statik FQDN'lerin manuel listesini kullanır, bu da sürdürülemezdir ve Microsoft'un uç noktaları değiştikçe sık sık güncelleme gerektirir. Dördüncü seçenek, Azure Firewall'un uygulama katmanı filtreleme yeteneklerini kullanmaz ve yalnızca IP adreslerine dayalı NSG kurallarına güvenir, bu da daha az granüler kontrol ve daha düşük güvenlik sağlar.