Vylepšené monitorování zabezpečení

Článek
05/03/2024

Tento článek popisuje funkci rozšířeného monitorování zabezpečení a postup konfigurace v pracovním prostoru nebo účtu Azure Databricks.

Pokud tuto funkci povolíte, budou se vám účtovat doplňky Rozšířené zabezpečení a dodržování předpisů, jak je popsáno na stránce s cenami.

Přehled rozšířeného monitorování zabezpečení

Monitorování rozšířeného zabezpečení Azure Databricks poskytuje vylepšenou bitovou kopii disku a další agenty pro monitorování zabezpečení, kteří generují řádky protokolu, které můžete zkontrolovat pomocí diagnostických protokolů.

Vylepšení zabezpečení se vztahují pouze na výpočetní prostředky v klasické výpočetní rovině, jako jsou clustery a bezserverové sklady SQL.

Prostředky bezserverové roviny výpočetní roviny, jako jsou bezserverové služby SQL Warehouse, nemají při povolení rozšířeného monitorování zabezpečení další monitorování.

Poznámka:

Většina typů instancí Azure se podporuje, ale virtuální počítače založené na Arm64 (Generace 2) a Arm64 se nepodporují. Azure Databricks neumožňuje spouštění výpočetních prostředků s těmito typy instancí, pokud je povolené rozšířené monitorování zabezpečení.

Rozšířené monitorování zabezpečení zahrnuje:

Vylepšená posílená image operačního systému založená na výhodách Ubuntu.

Ubuntu Advantage je balíček podnikového zabezpečení a podpory opensourcové infrastruktury a aplikací, které zahrnují posílenou image CIS Level 1 .
Agent antivirového monitorování, který generuje protokoly, které můžete zkontrolovat.
Agent monitorování integrity souborů, který generuje protokoly, které můžete zkontrolovat.

Agenti monitorování v imagích výpočetní roviny Azure Databricks

Rozšířené monitorování zabezpečení je sice povolené, ale existují další agenti monitorování zabezpečení, včetně dvou předinstalovaných agentů v imagi rozšířené výpočetní roviny. Agenty monitorování, kteří jsou v imagi disku s rozšířenou rovinou výpočetních prostředků, nemůžete zakázat.

Agent monitorování	Umístění	Popis	Jak získat výstup
Monitorování integrity souborů	Obrázek vylepšené výpočetní roviny	Monitoruje porušení integrity souborů a hranic zabezpečení. Tento agent monitorování běží na pracovním virtuálním počítači ve vašem clusteru.	Povolte systémovou tabulku protokolu auditu a zkontrolujte protokoly pro nové řádky.
Antivirová ochrana a detekce malwaru	Obrázek vylepšené výpočetní roviny	Každý den prohledá systém souborů viry. Tento agent monitorování běží na virtuálních počítačích ve vašich výpočetních prostředcích, jako jsou clustery a pro nebo klasické SQL Warehouse. Agent pro detekci antivirového softwaru a malwaru prohledá celý systém souborů operačního systému hostitele a systém souborů kontejneru Databricks Runtime. Cokoli mimo virtuální počítače clusteru je mimo rozsah kontroly.	Povolte systémovou tabulku protokolu auditu a zkontrolujte protokoly pro nové řádky.
Kontrola ohrožení zabezpečení	Prohledávání probíhá v reprezentativních obrázcích v prostředích Azure Databricks.	Vyhledá v hostiteli kontejneru určité známé chyby zabezpečení a cves.	Požádejte o sestavy kontroly na obrázku od týmu účtu Azure Databricks.

Pokud chcete získat nejnovější verze agentů monitorování, můžete clustery restartovat. Pokud váš pracovní prostor používá automatickou aktualizaci clusteru, clustery se ve výchozím nastavení restartují v případě potřeby během časových období plánované údržby. Pokud je v pracovním prostoru povolený profil zabezpečení dodržování předpisů, je v daném pracovním prostoru trvale povolená automatická aktualizace clusteru.

Monitorování integrity souborů

Image rozšířené výpočetní roviny zahrnuje službu monitorování integrity souborů, která poskytuje viditelnost modulu runtime a detekci hrozeb pro výpočetní prostředky (pracovní procesy clusteru) v klasické výpočetní rovině ve vašem pracovním prostoru.

Výstup monitorování integrity souborů se vygeneruje v protokolech auditu, ke kterým máte přístup pomocí systémových tabulek. Viz Monitorování využití pomocí systémových tabulek. Schéma JSON pro nové auditovatelné události specifické pro monitorování integrity souborů najdete v tématu Události monitorování integrity souborů.

Důležité

Je vaší zodpovědností zkontrolovat tyto protokoly. Databricks může podle vlastního uvážení tyto protokoly zkontrolovat, ale nezaváže se k tomu. Pokud agent zjistí škodlivou aktivitu, je vaší zodpovědností určit prioritu těchto událostí a otevřít lístek podpory s Databricks, pokud řešení nebo náprava vyžaduje akci databricks. Databricks může na základě těchto protokolů podniknout opatření, včetně pozastavení nebo ukončení prostředků, ale neudělá k tomu žádný závazek.

Antivirová ochrana a detekce malwaru

Image rozšířené výpočetní roviny obsahuje antivirový modul pro detekci trojských koní, virů, malwaru a dalších škodlivých hrozeb. Antivirový monitor prohledá celý hostitelský systém souborů operačního systému a systém souborů kontejneru Databricks Runtime. Cokoli mimo virtuální počítače clusteru je mimo rozsah kontroly.

Výstup antivirového monitorování se generuje v protokolech auditu, ke kterým máte přístup pomocí systémových tabulek (Public Preview). Schéma JSON pro nové auditovatelné události specifické pro monitorování antivirového softwaru najdete v tématu Události monitorování antivirové ochrany.

Při vytvoření nové image virtuálního počítače se do ní zahrnou aktualizované soubory podpisu.

Důležité

Při vytvoření nové image AMI se aktualizované soubory podpisů zahrnou do nové image AMI.

Kontrola ohrožení zabezpečení

Agent monitorování ohrožení zabezpečení provádí kontroly ohrožení zabezpečení hostitele kontejneru (VM) pro určité známé cve. Prohledávání probíhá v reprezentativních obrázcích v prostředích Azure Databricks. Sestavy kontroly ohrožení zabezpečení si můžete vyžádat od týmu účtu Azure Databricks.

Když se u tohoto agenta najdou ohrožení zabezpečení, Databricks je sleduje v souladu se smlouvou SLA pro správu ohrožení zabezpečení a vydá aktualizovanou image, pokud je k dispozici.

Správa a upgrade agentů monitorování

Další agenti monitorování, kteří jsou na imagích disků používaných pro výpočetní prostředky v klasické výpočetní rovině, jsou součástí standardního procesu Azure Databricks pro upgrade systémů:

Image základního disku klasické výpočetní roviny (AMI) vlastní, spravuje a opravuje Databricks.
Databricks poskytuje a používá opravy zabezpečení uvolněním nových imagí disků AMI. Plán doručení závisí na nových funkcích a sla pro zjištěná ohrožení zabezpečení. Typické doručení je každé dva až čtyři týdny.
Základní operační systém pro výpočetní rovinu je Ubuntu Advantage.
Clustery Azure Databricks a pro nebo klasické sql warehouse jsou ve výchozím nastavení dočasné. Při spuštění používají clustery a profesionální nebo klasické sql warehouse nejnovější dostupné základní image. Starší verze, které můžou mít ohrožení zabezpečení, nejsou pro nové clustery k dispozici.
- Zodpovídáte za pravidelné restartování clusterů (pomocí uživatelského rozhraní nebo rozhraní API), abyste zajistili, že používají nejnovější opravené image hostitelských virtuálních počítačů.

Monitorování ukončení agenta

Pokud se zjistí, že agent monitorování na pracovním virtuálním počítači není spuštěný kvůli chybovému ukončení nebo jinému ukončení, pokusí se systém agenta restartovat.

Zásady uchovávání dat pro data agenta monitorování

Pokud jste nakonfigurovali diagnostické protokoly, odesílají se do systémové tabulky protokolů auditu do vlastního úložiště ve vašem předplatném Azure. Odpovědností je uchovávání, příjem dat a analýza těchto protokolů.

Databricks uchovává sestavy a protokoly kontroly ohrožení zabezpečení nejméně jeden rok. Sestavy ohrožení zabezpečení můžete požádat od týmu účtu Azure Databricks.

Povolení rozšířeného monitorování zabezpečení Azure Databricks

Váš pracovní prostor Azure Databricks musí být na úrovni Premium nebo Enterprise.

Pokud chcete povolit rozšířené monitorování zabezpečení v pracovním prostoru, přečtěte si téma Použití webu Azure Portal k povolení nastavení v novém pracovním prostoru.

Aktualizace může trvat až šest hodin, než se rozšíří do všech prostředí a do podřízených systémů, jako je fakturace. Úlohy, které aktivně běží, budou pokračovat v nastavení aktivních v době spuštění clusteru nebo jiného výpočetního prostředku a nová nastavení se začnou používat při příštím spuštění těchto úloh.