Azure Just in Time Virtual Machine Access

Cosa potrebbe succedere se eseguiste una macchina virtuale con IP pubblico connesso ad Internet? Beh, malintenzionati potrebbero immediatamente sferrare un attacco alla VM.
Gli attacchi brute force, solitamente prendono di mira le porte di gestione, come RDP o SSH per avere accesso alle VM. Se l’attacco va a buon fine, gli aggressori possono prendere il pieno controllo sulla macchina virtuale e sulle altre risorse dell’ambiente. Per evitare il problema, vi consigliamo di ridurre l’apertura delle porte, in particolare per quanto riguarda le porte di gestione. In ogni caso, potrebbe succedere che dobbiate aprire le porte per i task di gestione delle VM.

Microsoft Azure ha un metodo semplice ma infallibile per risolvere questa problematica: si chiama accesso alle Macchine Virtuali Just in time.
Questo strumento può essere utilizzato per bloccare il traffico in entrata alle vostre macchine virtuali di Azure.
Come? Riducendo l’esposizione agli attacchi mentre fornisce un accesso semplificato per connettersi alle VM ogni qualvolta sia necessario.

Come lavora Just in Time

All’interno dell’Azure Security Center, potete abilitare l’accesso alle VM just in time.
Così facendo, verrà creata una Network Security Rule (NSG) che blocca il traffico in entrata alle VM su Azure.
Durante la configurazione JIT iniziale, sceglierete le porte da gestire attraverso l’Azure Security Center: queste porte verranno bloccate dall’Azure Security Center utilizzando una NSG.

Configurare l’accesso Just in Time

A questo punto, Azure JIT VM access è configurato all’interno dell’Azure Security Center.
Per abilitarlo su una macchina virtuale, aprite Azure Security Center e cliccate su Just in time VM access.

Qui, trovate tre stati: Configured, Recommended e No recommendation.

• Configured: contiene le VM che sono state configurate in modo da supportare l’accesso alle VM just in time. Il dato che trovate si riferisce all’ultima settimana ed include: il numero di richieste approvate per ognuna delle macchine virtuali, data e ora dell’ultimo accesso ed ultimo utente.
• Recommended: si riferisce alle VM che possono supportare l’accesso just in time ma che non sono ancora state configurate. Vi raccomandiamo di abilitare l’accesso VM just in time per queste macchine virtuali.
• No recommendation: le ragioni che potrebbero causare uno stato di questo tipo sulla macchina sono le seguenti.
  – NSG mancante –> la soluzione just in time richiede la presenza di un NSG;
  – VM classica –> il Security Center just in time VM access attualmente supporta solo le VM implementate attraverso Azure Resource Manager. Un deployment classico non è supportato dalla soluzione just in time;
  – Altre cause –> una macchina virtuale rientra in questa categoria se la soluzione just in time è disattivata all’interno della security policy della sottoscrizione o del gruppo di risorse oppure se alla macchina virtuale manca un IP pubblico e non ha un NGS attivo.

Per iniziare la configurazione, cliccate su Recommended e selezionate la Macchina Virtuale su cui volete abilitare il JIT.

Cliccate poi su Enable JIT dalla VM e configurate le porte che volete vengano gestite dal Just in time VM Access. La soluzione JIT vi raccomanderà alcune porte di default, come RDP, SSH e PowerShell Remoting.
Potete aggiungere altre porte alla macchina virtuale.

Richiedere il Just in time VM Access per le Macchine Virtuali di Azure

Nella sezione Configured, potete selezionate la VM per cui volete richiedere l’accesso e cliccare su Request access.
Potete selezionare ora le porte che volete rimangano aperte in un determinato momento e ad uno specifico indirizzo IP. In questo modo, verrano aperte le porte e dopo 2-3 minuti avrete accesso alla macchina virtuale.

Per inviare una richiesta di questo tipo, l’utente deve avere l’accesso in scrittura alle macchine virtuali all’interno dell’Azure Role-Based Access Control (RBAC).

Registrare le attività su Azure just in time VM access

Ovviamente, tutte le richieste vengono registrate e possono essere visualizzate all’interno dell’Activity Log.

Licensing di Azure just in time VM access

La soluzione di Azure just in time VM access è licenziata sull’Azure Security Center e richiede che venga abilitata una Standard Tier per la specifica macchina virtuale.