Ensure only MFA enabled identities can access privileged Virtual Machine

Por qué es importante

Si las identidades que no tienen autenticación multifactor pueden acceder a máquinas virtuales con privilegios, un atacante que robe credenciales válidas podría iniciar sesión, moverse lateralmente y usar la identidad administrada de la VM para acceder a recursos en la nube o realizar acciones de administración no autorizadas. Exigir MFA para estos inicios de sesión con privilegios reduce significativamente el riesgo de que el robo de credenciales derive en un desplazamiento lateral y en el compromiso de recursos.

Qué comprueba Aether365

Esta comprobación verifica que solo las identidades con MFA habilitado tengan acceso a máquinas virtuales con privilegios. Aparece en el panel de Aether365 dentro de la categoría de comprobaciones Azure Virtual Machines.

Cómo solucionarlo

1. Asegúrate de que tu inquilino tenga una licencia Entra ID P2 para usar Privileged Identity Management (PIM) en el control de acceso.
2. Crea o identifica un grupo de RBAC o ABAC al que se le asignará el rol correspondiente (por ejemplo, Virtual Machine Contributor) para la máquina virtual.
3. Configura la asignación del rol en Azure PIM y exige autenticación multifactor en la configuración del rol.
4. Asigna el rol al grupo mediante PIM, de modo que los miembros deban activar el rol con MFA antes de obtener acceso con privilegios a la VM.
5. Como alternativa, usa una solución de administración de accesos con privilegios (PAM) de terceros para exigir MFA en los inicios de sesión en la VM.
6. Revisa todas las identidades existentes que tengan acceso directo o basado en grupos a la VM y elimina aquellas que no requieran MFA.

Cumplimiento normativo

• CIS Microsoft Azure Foundations 3.0.0 Sección 8.10 (Nivel 2)
• EIDSCA – Garantizar MFA para el acceso con privilegios a máquinas virtuales
• CISA – Autenticación multifactor para el acceso a recursos en la nube

Recursos relacionados

• ¿Qué es Privileged Identity Management?
• Exigir MFA para la activación de roles de Azure AD en PIM
• Identidades administradas para recursos de Azure