Ensure only MFA enabled identities can access privileged Virtual Machine

Чому це важливо

Якщо облікові записи без багатофакторної автентифікації можуть отримувати доступ до привілейованих віртуальних машин, зловмисник, який скомпрометує дійсні облікові дані, зможе ввійти в систему, переміщатися латерально та використовувати керовану ідентичність віртуальної машини для доступу до хмарних ресурсів або виконання несанкціонованих дій з управління. Вимога MFA для цих привілейованих входів значно знижує ризик крадіжки облікових даних, що призводить до латерального переміщення та компрометації ресурсів.

Що перевіряє Aether365

Ця перевірка підтверджує, що лише облікові записи з увімкненою MFA мають доступ до привілейованих віртуальних машин. Вона відображається в панелі керування Aether365 у категорії перевірок Azure Virtual Machines.

Як виправити

1. Переконайтеся, що ваш клієнт має ліцензію Entra ID P2 для використання Privileged Identity Management (PIM) для контролю доступу.
2. Створіть або визначте групу RBAC або ABAC, якій буде призначено відповідну роль (наприклад, Virtual Machine Contributor) для віртуальної машини.
3. Налаштуйте призначення ролі в Azure PIM та вимагайте багатофакторну автентифікацію в налаштуваннях ролі.
4. Призначте роль групі за допомогою PIM, щоб учасники мали активувати роль за допомогою MFA перед отриманням привілейованого доступу до віртуальної машини.
5. Як альтернативу, використовуйте стороннє рішення для керування привілейованим доступом (PAM), щоб забезпечити MFA для входів на віртуальну машину.
6. Перегляньте всі наявні облікові записи з прямим або груповим доступом до віртуальної машини та видаліть ті, які не вимагають MFA.

Відповідність стандартам

• CIS Microsoft Azure Foundations 3.0.0 Розділ 8.10 (Рівень 2)
• EIDSCA – Забезпечення MFA для привілейованого доступу до віртуальних машин
• CISA – Багатофакторна автентифікація для доступу до хмарних ресурсів

Пов'язані ресурси

• What is Privileged Identity Management?
• Require MFA for Azure AD role activation in PIM
• Managed identities for Azure resources