Ensure that 'Unattached disks' are encrypted with 'Customer Managed Key' (CMK)

Pourquoi c'est important

Les disques détachés uniquement chiffrés avec des clés gérées par la plateforme restent vulnérables à un accès non autorisé si un compte administratif compromis monte le disque. Sans clé gérée par le client, l'intégralité du contenu du disque pourrait être récupéré, exposant potentiellement des données sensibles. L'utilisation de CMK offre une couche supplémentaire de contrôle d'accès et aide à satisfaire aux exigences réglementaires concernant la propriété et la gestion des clés.

Ce que vérifie Aether365

Aether365 vérifie que chaque disque géré détaché dans votre abonnement Azure est chiffré avec une clé gérée par le client (CMK). Cette vérification apparaît dans le tableau de bord Aether365 sous les contrôles de conformité azure-azure-disks.

Comment corriger

1. Identifiez tous les disques détachés de votre abonnement. Vous pouvez utiliser le portail Azure, Azure CLI ou PowerShell pour lister les disques dont la propriété diskState est définie sur "Unattached".
2. Pour chaque disque détaché contenant des données importantes, chiffrez-le à l'aide d'une clé gérée par le client. Utilisez le portail Azure sous "Disks" > "Encryption" pour sélectionner une clé depuis votre Azure Key Vault. Vous pouvez également utiliser la commande Azure CLI az disk update --encryption-type EncryptionAtRestWithCustomerKey --disk-encryption-set <disk-encryption-set-id> -g <resource-group> -n <disk-name>.
3. Pour les disques détachés sans données importantes, supprimez-les pour réduire les risques et les coûts. Utilisez l'option "Delete" du portail Azure ou la commande CLI az disk delete --name <disk-name> --resource-group <resource-group>.

Conformité

• CIS Microsoft Azure Foundations 3.0.0 8.4 (Level 2)
• Azure Security Benchmark DP-5: Encrypt sensitive data at rest

Ressources associées

• Azure Disk Encryption Overview
• Enable Customer-Managed Keys for Managed Disks
• Azure CLI Disk Delete
• Azure CLI Disk Update
• REST API Disk Update Encryption Settings

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Delete
• Disk
• Update
• Disk
• Security controls v2 data protection