データ流出保護は、ネットワーク制御とデータ ガバナンス コントロールを組み合わせた多層防御アプローチです。 これは、3 つの ネットワーク セキュリティ アーキテクチャすべてに適用されます。 このページでは、ネットワーク レベルのコントロールと Unity カタログ コントロールを組み合わせて、Azure Databricks展開での不正なデータ転送を防ぐ方法について説明します。
これらのコントロールを実装するエンド ツー エンドの参照アーキテクチャについては、 データ流出保護アーキテクチャに関するページを参照してください。
データ流出保護とは
データ流出とは、Azure Databricks環境から機密データを不正に転送することです。 データ流出保護を使用すると、開いているネットワーク パス、誤って構成されたストレージ、過度に制限されていないエグレス ルール、または侵害された資格情報の悪用を回避できます。 正当なアクセス権を持つユーザーがクエリ結果をダウンロードしたり、承認されていない外部の宛先に書き込んだりできないようにすることもできます。
ネットワーク制御は、承認されていないネットワーク パスを閉じます。Unity カタログ コントロールは、承認されたユーザーとコンピューティングが、アクセスが許可されているデータで実行できる操作を制御します。 両方が必要です。
ネットワーク制御:
- ネットワークの分離: パブリック インターネット アクセスのないプライベート ネットワークにワークロードをデプロイします。
- Private 接続: Private Linkを使用して、インターネットにアクセスせずにクラウド サービスにアクセスします。
- エグレス制御: ファイアウォールまたはプロキシベースの制御を使用して送信アクセスを制御します。
- ストレージ アクセス ポリシー: どのストレージ アカウントとサービス ワークロードにアクセスできるかを制限します。
Unity Catalog のコントロール:
-
標準アクセス制御: カタログ、スキーマ、テーブル、ボリュームに対する
GRANTおよびREVOKEアクセス許可。 - 属性ベースのアクセス制御 (ABAC):オブジェクト ID だけでなく、データ オブジェクトにアタッチされた属性 (タグ) に基づいてデータ アクセスを制御します。
- 行フィルターと列マスク: 行レベルと列レベルのセキュリティを適用して、ユーザーがテーブル内で表示する内容を制限します。
- ワークスペース カタログ バインド: どのワークスペースがどのデータにアクセスできるかを分離します。
- 監査ログ: 監視とコンプライアンスのためにすべてのデータ アクセスをキャプチャします。
各ネットワーク アーキテクチャに関連する方法
ネットワーク制御の深さは、選択したアーキテクチャに応じてスケーリングされます。 Unity Catalog コントロールは、3 つのアーキテクチャすべてに同じように適用され、承認されたユーザーとコンピューティングがデータで実行できる操作を制御し、ネットワークの状態に基づいて変更することはありません。
| アーキテクチャ | ネットワーク管理 |
|---|---|
| マネージド セキュリティ | カスタマー マネージド VNet、SCC、バックエンド クラシック コンピューティング プレーン Private Link |
| 強化された接続 | コンテキストベースのイングレス、VPC エンドポイント、サーバーレスエグレスコントロール、およびオプションのファイアウォールを追加します |
| 分離環境 | 完全なプライベート接続を実現するために、インバウンド Private Link と必要なファイアウォールを追加します |
ネットワーク制御だけでは、承認されたユーザーがアクセスを誤って使用することを防ぐことはありません。 それらを Unity Catalog コントロールと組み合わせて、完全なデータ流出保護を行います。
実装するタイミング
次の場合にデータ流出保護を実装します。
- 機密性の高い、または規制されたデータ (財務、医療、政府) の処理。
- コンプライアンス フレームワークでは、エグレス制御 (SOC 2、HIPAA、PCI DSS、FedRAMP など) が義務付けられています。
- 組織では、データ移動を完全に可視化する必要があります。
- 業界の規制では、特定のリージョンまたはサービスへのデータ転送が禁止されています。
Important
データ流出保護には、ネットワーク制御とデータ ガバナンスコントロールの両方という複数のセキュリティレイヤーが連携する必要があります。 単独で十分な単一レイヤーはありません。
セキュリティ層
データ流出保護は、複数のセキュリティ メカニズムを組み合わせたものになります。 次の表は、各レイヤーとそのAzure実装をまとめたものです。
| セキュリティ層 | Purpose | Implementation | Priority |
|---|---|---|---|
| ネットワーク制御 | 独自のネットワークを持ち込む | VNet インジェクション | 高 |
| ネットワークの分離 | パブリック アクセスを排除する | セキュリティで保護されたクラスター接続 (SCC) | 高 |
| プライベート接続 | クラウド サービス アクセス (プライベート) | Private Link、プライベート エンドポイント | 高 |
| 出口検査 | 送信トラフィックを監視する | Azure Firewallまたはサード パーティのネットワーク仮想アプライアンス (NVA) | 高 |
| データ ガバナンス | アクセス制御と監査 | Unity カタログ | 高 |
| セキュリティで保護された接続 | クラウド サービス アクセス (無料) | サービス エンドポイント ポリシーを使用したサービス エンドポイント | 中程度 |
| サーバーレス コントロール | サーバーレス エグレスの管理 | ネットワーク ポリシー、サーバーレス エグレス ゲートウェイ (SEG)、NCC | 中程度 |
AWS と Azure にこれらのレイヤーを実装する完全なリファレンス アーキテクチャについては、「Data 流出保護アーキテクチャを参照してください。
コストに関する考慮事項
データ流出保護は、プライベート接続とトラフィック検査に必要な追加のインフラストラクチャにより、標準的なデプロイよりもネットワーク コストが高くなります。
| コスト係数 | Description |
|---|---|
| Private Link | プライベート エンドポイントあたりの 1 時間あたりの料金に加えて、GB 単位の受信および送信データ処理。 |
| サービス エンドポイント | エンドポイントの追加コストは発生しませんが、構成が必要です。 セキュリティが可能なプライベート エンドポイントに代わる低コスト。 |
| サービス エンドポイント ポリシー | 追加コストはありません。 データ転送コストを削減し、調整を回避するために、Azure Databricksシステム ストレージ (アーティファクト、ログ、システム テーブル) のファイアウォールをバイパスするために使用します。 |
| Azure Firewallまたは NVA | Azure Firewall: 1 時間あたりのデプロイと GB 単位の処理。 サード パーティの NVA: ライセンスと VM コンピューティング。 |
| データ転送 | アーティファクト ストレージ (クラスター ノードあたり最大 11 GB) を含む、ファイアウォール経由でルーティングされるトラフィックに対する追加料金。 |