Dataexfiltreringsskydd

Dataexfiltreringsskydd är en djupgående metod som kombinerar nätverkskontroller med datastyrningskontroller. Den gäller för alla tre nätverkssäkerhetsarkitekturerna. Den här sidan beskriver hur du kombinerar kontroller på nätverksnivå och Unity Catalog-kontroller för att förhindra obehörig dataöverföring i Azure Databricks distributioner.

Referensarkitekturer från slutpunkt till slutpunkt som implementerar dessa kontroller finns i Dataexfiltreringsskyddsarkitektur.

Vad är dataexfiltreringsskydd?

Dataexfiltrering är obehörig överföring av känsliga data från din Azure Databricks miljö. Med dataexfiltreringsskydd kan du undvika utnyttjande av öppna nätverkssökvägar, felkonfigurerad lagring, alltför tillåtande regler för utgående trafik eller komprometterade autentiseringsuppgifter. Du kan också förhindra att användare med legitim åtkomst laddar ned frågeresultat eller skriver till ett icke godkänt externt mål.

Nätverkskontroller blockerar obehöriga nätverksvägar; kontroller i Unity Catalog styr vad behöriga användare och beräkningsresurser kan göra med de data som de har åtkomst till. Du behöver båda.

Nätverkskontroller:

• Nätverksisolering: Distribuera arbetsbelastningar i privata nätverk utan offentlig Internetåtkomst.
• Private-anslutning: Använd Private Link för att få åtkomst till molntjänster utan internetexponering.
• Utgående kontroll: Kontrollera utgående åtkomst med hjälp av brandväggs- eller proxybaserade kontroller.
• Principer för lagringsåtkomst: Begränsa vilka lagringskonton och tjänstarbetsbelastningar som kan nås.

Unity Catalog-kontroller:

• Standardåtkomstkontroll: GRANT och REVOKE behörigheter för kataloger, scheman, tabeller och volymer.
• Attributbaserad åtkomstkontroll (ABAC): Styra dataåtkomst baserat på attribut (taggar) som är kopplade till dataobjekt, inte bara objektidentitet.
• Radfilter och kolumnmasker: Använd säkerhet på radnivå och kolumnnivå för att begränsa vad användarna ser i en tabell.
• Katalogbindningar för arbetsytor: Isolera vilka arbetsytor som kan komma åt vilka data.
• Revisionsloggning: Registrera all dataåtkomst för övervakning och efterlevnad.

Hur den relaterar till varje nätverksarkitektur

Djupet i nätverkskontrollerna skalas med den arkitektur du väljer. Kontrollerna i Unity Catalog tillämpas på samma sätt i alla tre arkitekturerna och styr vad behöriga användare och beräkning kan göra med data och inte ändras baserat på din nätverksstatus.

Enbart nätverkskontroller hindrar inte behöriga användare från att missbruka åtkomst. Kombinera dem med Unity Catalog-kontroller för fullständigt dataexfiltreringsskydd.

När du ska implementera

Implementera dataexfiltreringsskydd när:

• Hantering av mycket känsliga eller reglerade data (ekonomi, sjukvård, myndigheter).
• Efterlevnadsramverk kräver utgående kontroller (till exempel SOC 2, HIPAA, PCI DSS och FedRAMP).
• Din organisation kräver fullständig insyn i dataförflyttning.
• Branschbestämmelser förbjuder dataöverföring till specifika regioner eller tjänster.

Säkerhetsnivåer

Dataexfiltreringsskydd kombinerar flera säkerhetsmekanismer. I följande tabell sammanfattas varje lager och dess Azure implementering:

Fullständiga referensarkitekturer som implementerar dessa lager på AWS och Azure finns i Dataexfiltreringsskyddsarkitektur.

Kostnadsöverväganden

Dataexfiltreringsskydd har högre nätverkskostnader än standarddistributioner på grund av den ytterligare infrastruktur som krävs för privat anslutning och trafikkontroll.