Ensure only MFA enabled identities can access privileged Virtual Machine

Pourquoi c'est important

Si des identités sans authentification multifacteur peuvent accéder à des machines virtuelles privilégiées, un attaquant qui compromet des identifiants valides peut se connecter, se déplacer latéralement et abuser de l'identité managée de la VM pour accéder aux ressources cloud ou effectuer des actions de gestion non autorisées. Exiger l'authentification multifacteur pour ces connexions privilégiées réduit considérablement le risque que le vol d'identifiants entraîne un déplacement latéral et une compromission des ressources.

Ce que vérifie Aether365

Cette vérification s'assure que seules les identités avec authentification multifacteur activée ont accès aux machines virtuelles privilégiées. Elle apparaît dans le tableau de bord Aether365 sous la catégorie des vérifications Azure Virtual Machines.

Comment corriger

1. Assurez-vous que votre locataire dispose d'une licence Entra ID P2 pour utiliser Privileged Identity Management (PIM) pour le contrôle d'accès.
2. Créez ou identifiez un groupe RBAC ou ABAC auquel sera attribué le rôle pertinent (par exemple, Virtual Machine Contributor) pour la machine virtuelle.
3. Configurez l'attribution de rôle dans Azure PIM et exigez l'authentification multifacteur dans les paramètres du rôle.
4. Attribuez le rôle au groupe via PIM, afin que les membres doivent activer le rôle avec MFA avant d'obtenir un accès privilégié à la VM.
5. Autre option : utilisez une solution de gestion des accès privilégiés (PAM) tierce pour imposer l'authentification multifacteur pour les connexions VM.
6. Passez en revue toutes les identités existantes ayant un accès direct ou basé sur un groupe à la VM et supprimez celles qui n'exigent pas d'authentification multifacteur.

Conformité

• CIS Microsoft Azure Foundations 3.0.0 Section 8.10 (Niveau 2)
• EIDSCA – Assurer l'authentification multifacteur pour l'accès aux machines virtuelles privilégiées
• CISA – Authentification multifacteur pour l'accès aux ressources cloud

Ressources associées

• What is Privileged Identity Management?
• Require MFA for Azure AD role activation in PIM
• Managed identities for Azure resources