Ensure that 'Unattached disks' are encrypted with 'Customer Managed Key' (CMK)

Γιατί Αυτό Έχει Σημασία

Οι αποσυνδεδεμένοι δίσκοι που είναι κρυπτογραφημένοι μόνο με κλειδιά διαχειριζόμενα από την πλατφόρμα παραμένουν ευάλωτοι σε μη εξουσιοδοτημένη πρόσβαση εάν ένας παραβιασμένος λογαριασμός διαχειριστή προσαρτήσει τον δίσκο. Χωρίς ένα κλειδί διαχειριζόμενο από τον πελάτη, ολόκληρο το περιεχόμενο του δίσκου θα μπορούσε να ανακτηθεί, με πιθανή έκθεση ευαίσθητων δεδομένων. Η χρήση CMK παρέχει ένα πρόσθετο επίπεδο ελέγχου πρόσβασης και βοηθά στην κάλυψη κανονιστικών απαιτήσεων για την ιδιοκτησία και διαχείριση κλειδιών.

Τι Ελέγχει το Aether365

Το Aether365 επαληθεύει ότι κάθε αποσυνδεδεμένος διαχειριζόμενος δίσκος στη συνδρομή σας Azure είναι κρυπτογραφημένος με κλειδί διαχειριζόμενο από τον πελάτη (CMK). Αυτός ο έλεγχος εμφανίζεται στον πίνακα ελέγχου του Aether365 στην ενότητα ελέγχων συμμόρφωσης azure-azure-disks.

Πώς να το Διορθώσετε

1. Εντοπίστε όλους τους αποσυνδεδεμένους δίσκους στη συνδρομή σας. Μπορείτε να χρησιμοποιήσετε το Azure portal, το Azure CLI ή το PowerShell για να καταγράψετε δίσκους με την ιδιότητα diskState να έχει οριστεί σε "Unattached".
2. Για κάθε αποσυνδεδεμένο δίσκο που περιέχει σημαντικά δεδομένα, κρυπτογραφήστε τον χρησιμοποιώντας ένα κλειδί διαχειριζόμενο από τον πελάτη. Χρησιμοποιήστε το Azure portal στην ενότητα "Disks" > "Encryption" για να επιλέξετε ένα κλειδί από το Azure Key Vault. Εναλλακτικά, χρησιμοποιήστε την εντολή Azure CLI az disk update --encryption-type EncryptionAtRestWithCustomerKey --disk-encryption-set <disk-encryption-set-id> -g <resource-group> -n <disk-name>.
3. Για αποσυνδεδεμένους δίσκους χωρίς σημαντικά δεδομένα, διαγράψτε τους για να μειώσετε τον κίνδυνο και το κόστος. Χρησιμοποιήστε την επιλογή "Delete" στο Azure portal ή την εντολή CLI az disk delete --name <disk-name> --resource-group <resource-group>.

Συμμόρφωση

• CIS Microsoft Azure Foundations 3.0.0 8.4 (Επίπεδο 2)
• Azure Security Benchmark DP-5: Κρυπτογράφηση ευαίσθητων δεδομένων σε κατάσταση ηρεμίας

Σχετικοί Πόροι

• Επισκόπηση Κρυπτογράφησης Δίσκων Azure
• Ενεργοποίηση Κλειδιών Διαχειριζόμενων από τον Πελάτη για Διαχειριζόμενους Δίσκους
• Azure CLI Διαγραφή Δίσκου
• Azure CLI Ενημέρωση Δίσκου
• REST API Ενημέρωση Ρυθμίσεων Κρυπτογράφησης Δίσκου

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Delete
• Disk
• Update
• Disk
• Security controls v2 data protection