Ensure only MFA enabled identities can access privileged Virtual Machine

Защо това е важно

Ако самоличности без многофакторно удостоверяване имат достъп до привилегировани виртуални машини, противник, който компрометира валидни идентификационни данни, може да влезе в системата, да се придвижи странично и да злоупотреби с управляваната самоличност на виртуалната машина, за да получи достъп до облачни ресурси или да извърши неоторизирани управленски действия. Изискването на MFA за тези привилегировани влизания значително намалява риска от кражба на идентификационни данни, водеща до странично придвижване и компрометиране на ресурси.

Какво проверява Aether365

Тази проверка установява дали само самоличности с активирано MFA получават достъп до привилегировани виртуални машини. Тя се появява в таблото Aether365 под категорията проверки Azure Virtual Machines.

Как да коригирате

1. Уверете се, че вашият tenant разполага с Entra ID P2 лиценз, за да използвате Privileged Identity Management (PIM) за контрол на достъпа.
2. Създайте или идентифицирайте RBAC или ABAC група, на която ще бъде присвоена съответната роля (например Virtual Machine Contributor) за виртуалната машина.
3. Конфигурирайте присвояването на роля в Azure PIM и изискайте многофакторно удостоверяване в настройките на ролята.
4. Присвойте ролята на групата чрез PIM, така че членовете да активират ролята с MFA, преди да получат привилегирован достъп до виртуалната машина.
5. Алтернативно използвайте решение за управление на привилегирован достъп (PAM) от трета страна, за да наложите MFA за влизания във виртуални машини.
6. Прегледайте всички съществуващи самоличности с пряк или групов достъп до виртуалната машина и премахнете тези, които не изискват MFA.

Съответствие

• CIS Microsoft Azure Foundations 3.0.0 Раздел 8.10 (Ниво 2)
• EIDSCA – Осигуряване на MFA за привилегирован достъп до виртуални машини
• CISA – Многофакторно удостоверяване за достъп до облачни ресурси

Свързани ресурси

• Какво е Privileged Identity Management?
• Изискване на MFA за активиране на Azure AD роли в PIM
• Управлявани самоличности за Azure ресурси