Beveiligingsarchitectuur voor gegevensexfiltratie

Deze pagina is een functie-voor-functie-referentiearchitectuur voor beveiliging tegen gegevensexfiltratie op netwerkniveau in Azure. In elke sectie wordt één besturingselement beschreven, zoals identiteit, Unity Catalog-governance, werkruimtebeperkingen, bewaking en cloudspecifieke netwerkisolatie en koppelingen naar de implementatiehandleiding. Zie Gegevensexfiltratiebeveiliging voor de concepten en beveiligingslaagprioriteiten achter deze besturingselementen.

• Als u de volledige set besturingselementen als één bundel wilt implementeren, gebruikt u de terraform-module Azure Databricks Security Reference Architecture, waarmee de Isolated-omgeving-architectuur end-to-end wordt geïmplementeerd. Zie de Terraform-module Azure Security Reference Architecture.
• Als u besturingselementen afzonderlijk wilt configureren, gebruikt u de onderstaande handleiding.

Identiteits- en toegangsbeheer

Op identiteit gebaseerde besturingselementen vormen de eerste verdedigingslinie tegen gegevensexfiltratie. Zonder sterke verificatie en vertrouwde toegang ondermijnen zwakke identiteit controles op netwerkniveau.

Uniform aanmelden met SSO

Eenmalige aanmelding (SSO) toepassen op alle werkruimten in het Azure Databricks-account met behulp van geïntegreerde aanmelding. Dit zorgt ervoor dat gebruikers worden geverifieerd via uw zakelijke id-provider in plaats van persoonlijke accounts of niet-SSO-methoden te gebruiken.

Schakel meervoudige verificatie (MFA) in uw id-provider in voor een extra verificatielaag.

Zie Verificatie en toegangsbeheer.

Geautomatiseerd identiteitsbeheer

Implementeer SCIM-inrichting om levenscyclusbeheer van gebruikers te automatiseren. Dit zorgt ervoor dat voormalige medewerkers na hun vertrek automatisch uit systemen en toegangen worden verwijderd en geen toegang meer hebben tot werkomgevingen.

Zie Gebruikers en groepen synchroniseren vanuit Microsoft Entra ID met behulp van SCIM.

Besturingselementen voor netwerktoegang

Toegang tot de werkruimte- en accountconsole beperken tot vertrouwde netwerken:

• IP-toegangslijsten op accountniveau: Toegang tot de accountconsole beheren. Zie IP-toegangslijsten configureren voor de accountconsole.
• IP-toegangslijsten op werkruimteniveau: toegang tot afzonderlijke werkruimten beheren. Zie IP-toegangslijsten configureren voor werkruimten.
• Privéconnectiviteit: Gebruik Private Link voor inkomend verkeer om openbare toegang tot werkruimten volledig te elimineren. Zie Inkomende privékoppeling configureren.

Besturingselementen voor gegevensbeheer

Netwerkbeheer voorkomt niet-geautoriseerde uitgaande paden, maar besturingselementen voor gegevensbeheer zorgen ervoor dat zelfs geautoriseerde rekenresources alleen toegang hebben tot goedgekeurde gegevensbestemmingen. Pas deze besturingselementen toe, ongeacht welke netwerkbeveiligingsarchitectuur u implementeert.

Standaardtoegangsbeheer

Gebruik Unity Catalog-bevoegdheden om te beperken wie elke catalogus, schema, tabel en volume kan lezen, schrijven of wijzigen. Verdeel de minimale bevoegdheden die vereist zijn voor elke rol en groep.

Bevoegdheden stromen hiërarchisch: een toekenning voor een catalogus is van toepassing op alle schema's en tabellen erin. Gebruik deze optie om brede standaardinstellingen af te dwingen en vervolgens toegang te beperken op lagere niveaus voor gevoelige gegevens.

Zie Beheer van bevoegdheden in Unity Catalog.

Op kenmerken gebaseerd toegangsbeheer (ABAC)

ABAC bepaalt gegevenstoegang op basis van tags die zijn gekoppeld aan gegevensobjecten, niet alleen objectidentiteit. Gebruik ABAC om beleidsregels af te dwingen, zoals 'gebruikers kunnen alleen query's uitvoeren op tabellen die zijn getagd pii=false' of 'gebruikers in de EU-groep kunnen tabellen met label niet lezen' region=US.

ABAC schaalt beter dan GRANT's per object in grote omgevingen waar tagconventies al aanwezig zijn. Het werkt ook goed samen met rijfilters en kolommaskers (hieronder).

Zie Op kenmerken gebaseerd toegangsbeheer in Unity Catalog.

Rijfilters en kolommaskers

Beperken wat gebruikers in een tabel zien:

• Rijfilters: Pas een SQL-functie toe waarmee wordt bepaald welke rijen een gebruiker kan opvragen. Beperk bijvoorbeeld een verkooptabel, zodat elke regionale manager alleen rijen voor hun regio ziet.
• Kolommaskers: Pas een SQL-functie toe waarmee de waarde van een kolom wordt getransformeerd voordat deze terugkeert naar de gebruiker. Maskeer bijvoorbeeld creditcardnummers als XXXX-XXXX-XXXX-1234 voor gebruikers buiten de financiële afdeling.

Rijfilters en kolommaskers worden geëvalueerd wanneer een query wordt uitgevoerd, dus gebruikers kunnen ze niet omzeilen met SELECT *.

Zie rijfilters en kolommaskers.

Administratieve beperkingen voor Unity Catalog

Beperk het maken van beveiligbare objecten voor gegevenstoegang tot uitsluitend beheerders:

• Opslagreferenties: alleen beheerders toestaan opslagreferenties te maken. Pas beleid voor cloudtoegang met minimale bevoegdheden (IAM-rollen, beheerde identiteiten) toe voor elke referentie. Zie Opslagreferenties beheren.
• Externe locaties: alleen beheerders toestaan externe locaties te maken die zijn toegewezen aan cloudopslagpaden. Zie Externe locaties beheren.
• Databaseverbindingen: alleen beheerders toestaan verbindingen met externe databases te maken via Lakehouse Federation. Zie Verbindingen beheren voor Lakehouse Federation.
• Servicereferenties: alleen beheerders toestaan servicereferenties te maken voor externe cloudservices. Zie Servicereferenties maken.

Gebruikers machtigingen verlenen voor het gebruik van goedgekeurde beveiligbare apparaten in plaats van nieuwe te maken. Hiermee voorkomt u dat gebruikers rekenkracht aanwijzen op niet-vertrouwde opslag of eindpunten.

Werkruimtebindingen voor catalogi

Bind Unity Catalog-catalogi aan specifieke werkruimten om toegang tot gegevens in meerdere omgevingen te voorkomen. Voorkom bijvoorbeeld dat ontwikkelwerkruimten productiegegevens lezen.

Zie Werkruimte-catalogusbinding.

Beleid voor opslagaccounts

Implementeer firewalls of bucketbeleid voor opslagaccounts om alleen verkeer van goedgekeurde bronlocaties toe te staan:

• Configureer Azure Storage firewalls om alleen toegang toe te staan vanaf goedgekeurde VNets, privé-eindpunten of service-eindpunten.
• Gebruik beheerde identiteiten met roltoewijzingen met minimale bevoegdheden.

Werkruimtebeperkingen

Instellingen voor werkruimtebeheerders beheren het downloaden en exporteren van gegevens via de gebruikersinterface van Azure Databricks. Schakel deze instellingen uit om te voorkomen dat gebruikers gegevens extraheren via de werkruimte-interface.

Configuratie	Risico beperkt
Downloaden van notebookresultaten uitschakelen	Gebruikers die queryresultaten downloaden naar lokale computers
Downloaden van volumebestanden uitschakelen	Gebruikers die volumebestanden downloaden naar lokale machines
Notitieblok en bestand exporteren uitschakelen	Gebruikers exporteren notitieblokken of bestanden uit de werkruimte
Download van SQL-resultaten uitschakelen	Gebruikers die SQL-queryresultaten downloaden
Het downloaden van een MLflow-runartefact uitschakelen	Gebruikers die MLflow-experimentartefacten downloaden
Klembord voor resultatentabel uitschakelen	Gebruikers die tabelgegevens naar het klembord kopiëren

Configureer deze instellingen in de beheerconsole van de werkruimte onder beveiligingsinstellingen. Zie Uw werkruimte beheren.

Bewaking en detectie

Preventieve controles verminderen het risico van gegevensexfiltratie, maar bewaking detecteert wanneer besturingselementen mislukken of wanneer aanvallers deze omzeilen.

Systeemtabellen voor controlebewaking

Gebruik Azure Databricks Bewakingskosten met behulp van systeemtabellen om gegevenstoegangspatronen te bewaken. In de tabelreferentie voor auditlogboeken worden werkruimtegebeurtenissen vastgelegd, waaronder:

• Gebruikersverificatie en toegangspogingen.
• Lees- en schrijfbewerkingen voor gegevens.
• Wijzigingen in de beheerconfiguratie.
• Het gebruik van aanmeldgegevens en de toegang tot externe locaties.

Stel waarschuwingen in voor verdachte activiteiten, zoals ongebruikelijke gegevensvolumes, toegang vanaf onverwachte locaties of pogingen om toegang te krijgen tot onbevoegde resources.

Cloudeigen logboekintegratie

Cloudspecifieke logboeken opnemen om Azure Databricks systeemtabellen aan te vullen:

• Configureer Azure Monitor en activiteitenlogboek om opslagtoegangsgebeurtenissen, het gebruik van beheerde identiteiten en netwerkstroomlogboeken vast te leggen.

Breng cloud-native logbestanden in verband met Azure Databricks-auditlogboeken voor volledig inzicht in gegevensverplaatsingen binnen uw omgeving.

Azure-architectuur

De Azure-architectuur maakt gebruik van VNet-injectie, Private Link en Azure Firewall om een beveiligde netwerkperimeter te maken rond Azure Databricks workloads.

Prerequisites

Component	Details
Virtueel netwerk	Klantbeheerd VNet voor implementatie van het Azure Databricks-gegevensvlak met Azure Databricks implementeren in uw virtuele Azure-netwerk (VNet-injectie).
Subnetten	Drie subnetten: host (openbaar), container (privé) en privé-eindpuntsubnet.
Firewall of NVA	Virtuele netwerkappliance (Azure Firewall of van derden) voor inspectie van uitgaand verkeer en beleidsafdwinging.
Persoonlijke DNS-zones	DNS-resolutie voor privé-eindpunten binnen het virtuele netwerk.
Azure Key Vault	Slaat door de klant beheerde sleutels op voor DBFS, beheerde schijven en versleuteling van beheerde services.
Lijst met toegestane firewalls	Vereiste Azure Databricks-eindpunten. Zie Firewallregels voor domeinnaam configureren.

Architectuuronderdelen

De architectuur heeft vier hoofdgebieden: netwerkisolatie, privéconnectiviteit, uitgaand verkeer en serverloze beveiliging.

Netwerkisolatie

Implementeer Azure Databricks met Beveiligde clusterconnectiviteit (SCC) ingeschakeld in een virtueel netwerk met behulp van Deploy-Azure Databricks in uw Azure virtuele netwerk (VNet-injectie). U kunt implementeren met behulp van een hub-and-spoke-topologie met een gecentraliseerde firewall of een geïsoleerde netwerktopologie (eiland) zonder een hub. Deze configuratie:

• Elimineert openbare IP-adressen op clusterknooppunten.
• Vereist toegewezen subnetparen per werkruimte (één privé, één openbaar).
• Routeert het besturingsvlakverkeer via privé-eindpunten.

Tip

Sla geen toepassingsgegevens op in dbFS-hoofdopslag. Schakel de toegang tot de DBFS-root en koppelingen in uw bestaande Azure Databricks-werkruimte uit en gebruik in plaats daarvan Wat zijn Unity Catalog-volumes?.

Privéconnectiviteit

Stel Private Link eindpunten in voor door de klant beheerde Azure-opslagaccounts in een toegewezen subnet:

• Alle gegevenstoegang vindt plaats via de Azure netwerk-backbone.
• Privé-eindpunten kunnen worden geïmplementeerd in het Azure Databricks VNet of een gekoppeld VNet.
• Als alternatief voor door de klant beheerde opslagaccounts gebruikt u Configure Azure service-eindpuntbeleid voor virtuele netwerken voor opslagtoegang vanaf klassieke compute (geen extra kosten).

Note

Beleid voor privé-eindpunten en service-eindpunten is alleen van toepassing op door de klant beheerde Azure opslagaccounts. Azure Databricks beheerde resources (artefactopslag, logboekopslag en Event Hubs) kunnen niet achter privé-eindpunten worden geplaatst.

Configureer Inkomende Private Link configureren voor gebruikerstoegang en browserverificatie (SSO).

Uitgaand verkeer beheren

Implementeer Azure Firewall (of een virtueel netwerkapparaat van derden) in een virtueel hubnetwerk:

• Toevoegingsregels: Definieer FQDN's die toegankelijk zijn via de firewall (besturingsvlak, web-app en SCC-relay als het klassieke rekenvlak Private Link niet is geconfigureerd).
• Netwerkregels: IP-adres, poort en protocol definiëren voor eindpunten die geen FQDN's kunnen gebruiken.
• Gedefinieerde routes (UDR's): Niet-lokaal verkeer routeren van Azure Databricks subnetten via de firewall met behulp van een standaardroute (0.0.0.0/0).

Note

Wanneer u beleid voor service-eindpunten gebruikt, zijn er geen firewallnetwerkregels nodig voor Azure Databricks serviceopslagaccounts (artefact, logboekregistratie, systeemtabellen).

Service-eindpunten omzeilen de firewall voor de systeemopslag van Azure Databricks, waardoor de kosten voor gegevensoverdracht afnemen en throttling wordt voorkomen. Alleen al de opslag van artefacten kan tot 11 GB aan downloads per clusterknooppunt uitmaken.

Serverloze beveiliging

Configureer Wat is serverloos uitgaand verkeer? om uitgaand verkeer te beheren. Gebruik Serverloze rekenvlaknetwerken om privéverbindingen tot stand te brengen tussen serverloze berekeningen en Azure opslagaccounts (ADLS Gen2).

Optimalisatiestrategieën:

• Gebruik service-eindpunten in plaats van Private Link als de beveiligingsvereisten dit toelaten.
• Configureer beleid voor service-eindpunten om firewall voor Azure Databricks systeemopslag te omzeilen (vermindert de kosten voor gegevensoverdracht en voorkomt beperking).
• Stem de doorvoer van Azure Firewall of NVA af op de werkelijke vereisten.
• Kosten voor gegevensoverdracht bewaken via firewallapparaten.

Zie Informatie over de netwerkkosten van Databricks voor uitgebreide richtlijnen.

Zie ook

Resource	Description
Netwerkreferentiearchitecturen	Netwerkbeveiligingsarchitecturen (beheerd, beveiligd, geïsoleerd).
Beveiliging en naleving	Beveiliging en nalevingscontroles buiten netwerken.