Ensure that 'Unattached disks' are encrypted with 'Customer Managed Key' (CMK)

Warum das wichtig ist

Nicht zugeordnete Datenträger, die nur mit plattformverwalteten Schlüsseln verschlüsselt sind, bleiben anfällig für unbefugten Zugriff, wenn ein kompromittiertes Administratorkonto den Datenträger bereitstellt. Ohne einen kundenseitig verwalteten Schlüssel könnten die vollständigen Datenträgerinhalte wiederhergestellt werden, was möglicherweise vertrauliche Daten offenlegt. Die Verwendung von CMK bietet eine zusätzliche Zugriffskontrollebene und hilft, regulatorische Anforderungen an Schlüsseleigentum und -verwaltung zu erfüllen.

Was Aether365 prüft

Aether365 überprüft, ob jeder nicht zugeordnete verwaltete Datenträger in Ihrem Azure-Abonnement mit einem kundenseitig verwalteten Schlüssel (CMK) verschlüsselt ist. Diese Prüfung wird im Aether365-Dashboard unter den Compliance-Prüfungen für azure-azure-disks angezeigt.

Behebung

1. Identifizieren Sie alle nicht zugeordneten Datenträger in Ihrem Abonnement. Sie können das Azure Portal, die Azure CLI oder PowerShell verwenden, um Datenträger mit der Eigenschaft diskState auf "Unattached" aufzulisten.
2. Verschlüsseln Sie für jeden nicht zugeordneten Datenträger, der wichtige Daten enthält, diesen mithilfe eines kundenseitig verwalteten Schlüssels. Verwenden Sie im Azure Portal unter "Disks" > "Encryption" einen Schlüssel aus Ihrem Azure Key Vault. Alternativ können Sie den Azure CLI-Befehl az disk update --encryption-type EncryptionAtRestWithCustomerKey --disk-encryption-set <disk-encryption-set-id> -g <resource-group> -n <disk-name> verwenden.
3. Löschen Sie nicht zugeordnete Datenträger ohne wichtige Daten, um Risiko und Kosten zu reduzieren. Nutzen Sie die Option "Delete" im Azure Portal oder den CLI-Befehl az disk delete --name <disk-name> --resource-group <resource-group>.

Compliance

• CIS Microsoft Azure Foundations 3.0.0 8.4 (Level 2)
• Azure Security Benchmark DP-5: Encrypt sensitive data at rest

Verwandte Ressourcen

• Azure Disk Encryption Overview
• Enable Customer-Managed Keys for Managed Disks
• Azure CLI Disk Delete
• Azure CLI Disk Update
• REST API Disk Update Encryption Settings

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Delete
• Disk
• Update
• Disk
• Security controls v2 data protection