Ensure only MFA enabled identities can access privileged Virtual Machine

Perché è Importante

Se le identità prive di autenticazione multifattore possono accedere a macchine virtuali privilegiate, un malintenzionato che comprometta credenziali valide può effettuare l'accesso, spostarsi lateralmente e abusare dell'identità gestita della VM per accedere a risorse cloud o eseguire azioni di gestione non autorizzate. Richiedere l'MFA per questi accessi privilegiati riduce significativamente il rischio che il furto di credenziali porti a movimenti laterali e compromissione delle risorse.

Cosa Controlla Aether365

Questo controllo verifica che solo le identità con MFA abilitato abbiano accesso alle macchine virtuali privilegiate. Viene visualizzato nel dashboard di Aether365 nella categoria dei controlli Macchine virtuali di Azure.

Come Risolvere

1. Assicurati che il tuo tenant disponga di una licenza Entra ID P2 per utilizzare Privileged Identity Management (PIM) per il controllo degli accessi.
2. Crea o identifica un gruppo RBAC o ABAC a cui verrà assegnato il ruolo pertinente (ad esempio, Collaboratore Macchina Virtuale) per la macchina virtuale.
3. Configura l'assegnazione del ruolo in Azure PIM e richiedi l'autenticazione multifattore nelle impostazioni del ruolo.
4. Assegna il ruolo al gruppo utilizzando PIM, in modo che i membri debbano attivare il ruolo con MFA prima di ottenere l'accesso privilegiato alla VM.
5. In alternativa, utilizza una soluzione di gestione degli accessi privilegiati (PAM) di terze parti per imporre l'MFA per gli accessi alla VM.
6. Esamina tutte le identità esistenti con accesso diretto o basato su gruppo alla VM e rimuovi quelle che non richiedono l'MFA.

Conformità

• CIS Microsoft Azure Foundations 3.0.0 Sezione 8.10 (Livello 2)
• EIDSCA – Garantire MFA per l'accesso privilegiato alle macchine virtuali
• CISA – Autenticazione multifattore per l'accesso alle risorse cloud

Risorse Correlate

• Che cos'è Privileged Identity Management?
• Richiedere MFA per l'attivazione del ruolo Azure AD in PIM
• Identità gestite per risorse Azure