Contoso Ltd., birden çok VNet için gelen ve giden trafiği korumak amacıyla bir hub sanal ağında Azure Firewall Premium'u dağıttı. Güvenlik ekibi, güvenlik duvarından geçen trafik için TLS üzerinden SQL injection saldırılarını tespit etmeli ve engellemelidir. Doğu-batı ve kuzey-güney trafiği için imza tabanlı IDPS ve TLS denetimi gereklidir, ancak istemci sertifikası kimlik doğrulaması kullanan arka uç SQL sunucularına giden trafiğin şifresini çözmemelidir. İstemci sertifikasıyla korunan akışlar için minimum riskle gereksinimi hangi yapılandırma karşılar?

Doğru seçenek, Azure Firewall Premium'un TLS denetimi dışlama listesi özelliğini kullanarak belirli trafiği şifre çözmeden geçirmesine olanak tanır. İmza tabanlı IDPS, SQL injection saldırılarını tespit etmek için gereklidir. TLS denetimini 'Allow list' moduna ayarlamak ve arka uç SQL sunucusu FQDN'lerini ve istemci sertifikası OID'lerini dışlama listesine eklemek, istemci sertifikası kimlik doğrulaması kullanan SQL trafiğinin şifresinin çözülmemesini sağlar. Bu, güvenlik gereksinimlerini karşılarken mevcut kimlik doğrulama mekanizmasını bozmaz. Diğer seçenekler neden yanlış: Yalnızca anomali tabanlı algılama, imza tabanlı algılama gereksinimini karşılamaz ve tüm trafik için tam TLS şifre çözme, istemci sertifikası kullanan SQL trafiğini bozacaktır. 'Inspect all' modunda TLS denetimi, istemci sertifikası kullanan SQL trafiğinin şifresini çözecek ve bu trafiği bozacaktır. DNAT bypass, güvenlik duvarı korumasını atlayarak güvenlik riskleri oluşturur. SQL ile ilgili imzalar için IDPS kurallarını devre dışı bırakmak, SQL injection saldırılarını tespit etme yeteneğini ortadan kaldırır ve NSG akış günlükleri, gerçek zamanlı saldırı tespiti için yeterli değildir. TLS denetimini devre dışı bırakmak, diğer TLS trafiği için gerekli korumayı sağlamaz.