Contoso Ltd. 已在中樞虛擬網路中部署 Azure Firewall Premium，以保護多個 VNet 的輸入和輸出流量。安全團隊必須偵測並阻擋透過防火牆傳輸的 TLS 上的 SQL 注入攻擊。他們需要針對東西向和南北向流量進行基於簽章的 IDPS 和 TLS 檢查，但不得解密使用用戶端憑證驗證的後端 SQL Server 流量。哪種組態能以最小化對受用戶端憑證保護的流量的風險來滿足此要求？

正確答案透過 Azure Firewall Premium 的 IDPS 簽章偵測功能，有效防禦 SQL 注入攻擊。將 TLS 檢查設定為「允許清單」模式，並將後端 SQL Server 的 FQDN 和用戶端憑證 OID 加入排除清單，可確保對大部分流量進行 TLS 檢查，同時避免解密受用戶端憑證保護的敏感 SQL Server 流量，從而最小化風險。其他選項不符合所有要求：僅啟用異常偵測 IDPS 不足夠；為所有流量啟用完整 TLS 解密會解密受保護的 SQL 流量；建立 DNAT 旁路會繞過防火牆安全檢查；停用 SQL 相關簽章並依賴 NSG 日誌會降低安全性。