Ensure that 'Unattached disks' are encrypted with 'Customer Managed Key' (CMK)

Por Que Isso é Importante

Discos não anexados criptografados apenas com chaves gerenciadas pela plataforma continuam vulneráveis a acesso não autorizado se uma conta administrativa comprometida montar o disco. Sem uma chave gerenciada pelo cliente, todo o conteúdo do disco pode ser recuperado, potencialmente expondo dados confidenciais. O uso de CMK fornece uma camada adicional de controle de acesso e ajuda a atender aos requisitos regulatórios de propriedade e gerenciamento de chaves.

O Que Aether365 Verifica

Aether365 verifica se cada disco gerenciado não anexado em sua assinatura do Azure está criptografado com uma chave gerenciada pelo cliente (CMK). Esta verificação aparece no painel do Aether365 sob os checks de conformidade azure-azure-disks.

Como Corrigir

1. Identifique todos os discos não anexados em sua assinatura. Use o Azure portal, Azure CLI ou PowerShell para listar discos com a propriedade diskState definida como "Unattached".
2. Para cada disco não anexado que contenha dados importantes, criptografe-o usando uma chave gerenciada pelo cliente. Use o Azure portal em "Disks" > "Encryption" para selecionar uma chave de seu Azure Key Vault. Alternativamente, use o comando Azure CLI az disk update --encryption-type EncryptionAtRestWithCustomerKey --disk-encryption-set <disk-encryption-set-id> -g <resource-group> -n <disk-name>.
3. Para discos não anexados sem dados importantes, exclua-os para reduzir risco e custo. Use a opção "Delete" do Azure portal ou o comando CLI az disk delete --name <disk-name> --resource-group <resource-group>.

Conformidade

• CIS Microsoft Azure Foundations 3.0.0 8.4 (Nível 2)
• Azure Security Benchmark DP-5: Criptografar dados confidenciais em repouso

Recursos Relacionados

• Visão Geral da Criptografia de Disco do Azure
• Habilitar Chaves Gerenciadas pelo Cliente para Discos Gerenciados
• Exclusão de Disco via Azure CLI
• Atualização de Disco via Azure CLI
• Configurações de Criptografia de Atualização de Disco via REST API

Microsoft references

• Azure disk encryption vms vmss
• Security center disk encryption
• Delete
• Disk
• Update
• Disk
• Security controls v2 data protection