Ensure only MFA enabled identities can access privileged Virtual Machine

Warum dies wichtig ist

Wenn Identitäten ohne Multi-Factor Authentication auf privilegierte virtuelle Maschinen zugreifen können, kann ein Angreifer, der gültige Anmeldedaten kompromittiert hat, sich anmelden, sich lateral bewegen und die verwaltete Identität der VM ausnutzen, um auf Cloud-Ressourcen zuzugreifen oder unbefugte Verwaltungsaktionen durchzuführen. Die Anforderung von MFA für diese privilegierten Anmeldungen reduziert das Risiko von Credential Theft, das zu lateraler Bewegung und Ressourcenkompromittierung führt, erheblich.

Was Aether365 prüft

Diese Prüfung stellt sicher, dass nur MFA-aktivierte Identitäten Zugriff auf privilegierte virtuelle Maschinen haben. Sie wird im Aether365-Dashboard unter der Kategorie Azure Virtual Machines angezeigt.

So beheben Sie das Problem

1. Stellen Sie sicher, dass Ihr Mandant über eine Entra ID P2-Lizenz verfügt, um Privileged Identity Management (PIM) für die Zugriffskontrolle zu nutzen.
2. Erstellen oder identifizieren Sie eine RBAC- oder ABAC-Gruppe, der die entsprechende Rolle (z. B. Virtual Machine Contributor) für die virtuelle Maschine zugewiesen wird.
3. Konfigurieren Sie die Rollenzuweisung in Azure PIM und fordern Sie Multi-Factor Authentication in den Rolleneinstellungen an.
4. Weisen Sie die Rolle der Gruppe über PIM zu, sodass Mitglieder die Rolle nur mit MFA aktivieren müssen, bevor sie privilegierten VM-Zugriff erhalten.
5. Alternativ können Sie eine Drittanbieter-Lösung für Privileged Access Management (PAM) verwenden, um MFA für VM-Anmeldungen zu erzwingen.
6. Überprüfen Sie alle vorhandenen Identitäten mit direktem oder gruppenbasiertem Zugriff auf die VM und entfernen Sie alle, die kein MFA erfordern.

Compliance

• CIS Microsoft Azure Foundations 3.0.0 Abschnitt 8.10 (Level 2)
• EIDSCA – Sicherstellung von MFA für privilegierten VM-Zugriff
• CISA – Multi-Factor Authentication für Cloud-Ressourcenzugriff

Verwandte Ressourcen

• Was ist Privileged Identity Management?
• MFA für die Aktivierung von Azure AD-Rollen in PIM anfordern
• Verwaltete Identitäten für Azure-Ressourcen