Ensure that 'OS and Data' disks are encrypted with Customer Managed Key (CMK)

Warum dies wichtig ist

Durch die Verschlüsselung von Betriebssystem- und Datenträgern mit kundenseitig verwalteten Schlüsseln (Customer Managed Keys, CMK) behalten Sie die Kontrolle über die Verschlüsselungsschlüssel, anstatt sich auf die standardmäßigen plattformseitig verwalteten Schlüssel (Platform Managed Keys, PMK) von Azure zu verlassen. Ohne CMK bleiben Ihre Daten anfällig, falls die Schlüssel von Microsoft kompromittiert werden. Zudem können Sie Schlüssel nicht eigenständig rotieren oder deaktivieren. Für besonders schützenswerte Daten bietet CMK eine essenzielle zusätzliche Sicherheitsebene, um eine unbefugte Datenwiederherstellung von getrennten Datenträgern zu verhindern.

Was Aether365 prüft

Aether365 überprüft, ob alle Betriebssystem- und Datenträger, die an virtuelle Maschinen in Ihrem Azure-Abonnement angeschlossen sind, mit kundenseitig verwalteten Schlüsseln (CMK) verschlüsselt sind. Diese Prüfung wird im Aether365-Dashboard unter dem Abschnitt azure-azure-virtual-machines angezeigt.

Behebung

Wichtiger Hinweis: Datenträger müssen von ihren VMs getrennt werden, bevor Sie die Verschlüsselungseinstellungen ändern können.

1. Melden Sie sich beim Azure Portal an und navigieren Sie zu Virtual machines.
2. Wählen Sie jede virtuelle Maschine aus, gehen Sie dann zu Settings und klicken Sie auf Disks.
3. Klicken Sie auf das X neben dem Betriebssystem- oder Datenträger, um ihn von der VM zu trennen.
4. Geben Sie in der Azure-Suchleiste Disks ein und suchen Sie den nicht angeschlossenen Datenträger.
5. Klicken Sie auf den Datenträgernamen und wählen Sie dann Encryption aus dem linken Menü.
6. Ändern Sie den Verschlüsselungstyp auf Customer Managed Key und wählen Sie Ihren Verschlüsselungssatz aus Azure Key Vault aus.
7. Klicken Sie auf Save, um die Verschlüsselungsänderung zu übernehmen.
8. Kehren Sie zur ursprünglichen virtuellen Maschine zurück und schließen Sie den Datenträger unter den Disks-Einstellungen wieder an.

Compliance

• CIS Microsoft Azure Foundations 3.0.0 8.3 (Level 2)
• EIDSCA: Bezieht sich auf Datenschutzkontrollen
• CISA: Referenz für sichere Cloud-Konfiguration

Verwandte Ressourcen

• Azure Disk Encryption für VMs und VMSS
• Übersicht über die Datenträgerverschlüsselung im Security Center
• Best Practices für Datenverschlüsselung im Ruhezustand
• Aktivieren kundenseitig verwalteter Schlüssel mit PowerShell

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Data encryption best practices
• Disk encryption portal quickstart
• Delete
• Update
• Security controls v2 data protection
• Disks enable customer managed keys powershell