Ensure only MFA enabled identities can access privileged Virtual Machine

Miért Fontos Ez

Ha a többtényezős hitelesítés nélküli identitások hozzáférhetnek a privilegizált virtuális gépekhez, egy olyan támadó, aki érvényes hitelesítő adatokat szerez meg, bejelentkezhet, oldalirányban mozoghat, és visszaélhet a virtuális gép felügyelt identitásával a felhőerőforrásokhoz való hozzáférés vagy jogosulatlan adminisztrációs műveletek végrehajtása céljából. A többtényezős hitelesítés megkövetelése ezen privilegizált bejelentkezésekhez jelentősen csökkenti a hitelesítő adatok ellopásának kockázatát, ami oldalirányú mozgáshoz és erőforrás-kompromittálódáshoz vezethet.

Mit Ellenőriz az Aether365

Ez az ellenőrzés azt vizsgálja, hogy csak a többtényezős hitelesítést használó identitások kapnak hozzáférést a privilegizált virtuális gépekhez. Az Aether365 irányítópultján az Azure Virtual Machines ellenőrzési kategória alatt jelenik meg.

Hogyan Javítsuk

1. Győződjön meg arról, hogy a bérlője rendelkezik Entra ID P2 licenccel a Privileged Identity Management (PIM) használatához a hozzáférés-vezérléshez.
2. Hozzon létre vagy azonosítson egy RBAC vagy ABAC csoportot, amelyhez hozzá lesz rendelve a virtuális géphez kapcsolódó megfelelő szerepkör (pl. Virtual Machine Contributor).
3. Konfigurálja a szerepkör-hozzárendelést az Azure PIM-ben, és a szerepkör beállításainál követelje meg a többtényezős hitelesítést.
4. Rendelje hozzá a szerepkört a csoporthoz a PIM segítségével, hogy a tagok csak a szerepkör MFA-val történő aktiválása után kapjanak privilegizált VM-hozzáférést.
5. Alternatív megoldásként használjon harmadik féltől származó privilegizált hozzáférés-kezelési (PAM) megoldást a MFA kikényszerítéséhez a VM-bejelentkezéseknél.
6. Tekintse át a VM-hez közvetlen vagy csoportalapú hozzáféréssel rendelkező összes meglévő identitást, és távolítsa el azokat, amelyek nem igényelnek MFA-t.

Megfelelőség

• CIS Microsoft Azure Foundations 3.0.0 8.10. szakasz (2. szint)
• EIDSCA – Többtényezős hitelesítés biztosítása a privilegizált virtuális gép hozzáféréshez
• CISA – Többtényezős hitelesítés a felhőerőforrásokhoz való hozzáféréshez

Kapcsolódó Források

• Mi a Privileged Identity Management?
• MFA előírása az Azure AD szerepkör aktiválásához a PIM-ben
• Felügyelt identitások az Azure-erőforrásokhoz