資料外洩保護

資料外洩保護是一種結合網路控制與資料治理控制的防禦縱深方法。 它適用於所有三種 網路安全架構。 本頁說明如何結合網路層級控制與 Unity 目錄控制，以防止 Azure Databricks 部署中的未經授權資料傳輸。

關於實作這些控制的端對端參考架構，請參見 資料外洩保護架構。

什麼是資料外洩保護？

資料外洩是指未經授權將敏感資料從你的 Azure Databricks 環境轉移出去。 透過資料外洩保護，您可以避免被利用開放網路路徑、錯誤設定的儲存空間、過於寬鬆的逃逸規則，或憑證被盜用。 你也可以阻止擁有合法存取權的使用者下載查詢結果或寫入未經批准的外部網站。

網路控制會關閉未經授權的網路路徑;Unity Catalog 控制規範授權使用者與電腦能如何處理他們被允許存取的資料。 兩者您都需要。

網路控制：

• 網路隔離：將工作負載部署於私有網路中，且無公共網路存取。
• Private connectivity：使用Private Link在不接觸網路的情況下存取雲端服務。
• 出口控制：利用防火牆或以代理伺服器為基礎的控制措施，控管對外存取。
• 儲存存取政策：限制儲存帳號與服務工作負載可存取的範圍。

Unity 目錄控制：

• 標準存取控制： GRANT 以及 REVOKE 對目錄、結構、資料表和磁碟區的權限。
• 基於屬性的存取控制（ABAC）：根據附加於資料物件的屬性（標籤）來治理資料存取，而不僅僅是物件身份。
• 列篩選與欄遮罩：套用列層級與欄級的安全措施，限制使用者在表格中看到的內容。
• 工作區目錄綁定：隔離哪些工作區能存取哪些資料。
• 稽核記錄：擷取所有資料存取權限，以便監控與合規。

它與各網路架構的關聯

網路控制的深度會依你選擇的架構而調整。 Unity Catalog 的控制在三種架構中相同，規範授權使用者與運算能力，且不會因網路狀態而改變。

僅靠網路控制無法阻止授權使用者濫用存取權限。 結合 Unity Catalog 控制功能，實現完整的資料外洩保護。

何時實施

在以下情況下實施資料外洩保護：

• 處理高度敏感或受監管的資料（金融、醫療、政府）。
• 合規框架要求實施出口控制（例如 SOC 2、HIPAA、PCI DSS 及 FedRAMP）。
• 您的組織需要對資料流動有完整的可視性。
• 產業法規禁止將資料傳輸至特定區域或服務。

安全性層級

資料外洩防護結合了多種安全機制。 下表總結了每一層及其 Azure 實作：

關於在 AWS 和 Azure 上實作這些層級的完整參考架構，請參見 資料外洩防護架構。

成本考量

資料外洩保護的網路成本高於標準部署，因為需要額外的私人連接與流量檢查基礎設施。