Ensure that 'Unattached disks' are encrypted with 'Customer Managed Key' (CMK)

Perche' e' Importante

I dischi non collegati crittografati solo con chiavi gestite dalla piattaforma rimangono vulnerabili ad accessi non autorizzati nel caso in cui un account amministrativo compromesso monti il disco. Senza una chiave gestita dal cliente, l'intero contenuto del disco potrebbe essere recuperato, esponendo potenzialmente dati sensibili. L'uso di CMK fornisce un ulteriore livello di controllo degli accessi e aiuta a soddisfare i requisiti normativi per la proprieta' e la gestione delle chiavi.

Cosa Controlla Aether365

Aether365 verifica che ogni disco gestito non collegato nella sottoscrizione Azure sia crittografato con una chiave gestita dal cliente (CMK). Questo controllo appare nel dashboard di Aether365 sotto i controlli di conformita' azure-azure-disks.

Come Risolvere

1. Identificare tutti i dischi non collegati nella sottoscrizione. E' possibile usare il portale Azure, Azure CLI o PowerShell per elencare i dischi con la proprieta' diskState impostata su "Unattached".
2. Per ogni disco non collegato che contiene dati importanti, crittografarlo utilizzando una chiave gestita dal cliente. Usare il portale Azure in "Disks" > "Encryption" per selezionare una chiave dal proprio Azure Key Vault. In alternativa, utilizzare il comando Azure CLI az disk update --encryption-type EncryptionAtRestWithCustomerKey --disk-encryption-set <disk-encryption-set-id> -g <resource-group> -n <disk-name>.
3. Per i dischi non collegati senza dati importanti, eliminarli per ridurre il rischio e i costi. Usare l'opzione "Delete" del portale Azure o il comando CLI az disk delete --name <disk-name> --resource-group <resource-group>.

Conformita'

• CIS Microsoft Azure Foundations 3.0.0 8.4 (Level 2)
• Azure Security Benchmark DP-5: Crittografare i dati sensibili inattivi

Risorse Correlate

• Panoramica sulla Crittografia dei Dischi Azure
• Abilitare le Chiavi Gestite dal Cliente per i Dischi Gestiti
• Eliminazione Disco Azure CLI
• Aggiornamento Disco Azure CLI
• Impostazioni Crittografia Aggiornamento Disco API REST

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Delete
• Disk
• Update
• Disk
• Security controls v2 data protection