Proteção contra exfiltração de dados

A proteção contra exfiltração de dados é uma abordagem de defesa em profundidade que combina controlos de rede com controlos de governação de dados. Aplica-se a todas as três arquiteturas de segurança de rede. Esta página descreve como combinar controlos ao nível da rede e controlos do Catálogo Unity para evitar transferências não autorizadas de dados em implementações do Azure Databricks.

Para arquiteturas de referência de ponta a ponta que implementam estes controlos, veja Arquitetura de proteção por exfiltração de dados.

O que é a proteção contra exfiltração de dados?

A exfiltração de dados é a transferência não autorizada de dados sensíveis para fora do seu ambiente Azure Databricks. Com a proteção contra exfiltração de dados pode evitar a exploração de caminhos de rede abertos, armazenamento mal configurado, regras de saída excessivamente permissivas ou credenciais comprometidas. Também pode impedir que utilizadores com acesso legítimo descarreguem resultados de consultas ou escrevam para um destino externo não aprovado.

Os controlos de rede fecham os caminhos de rede não autorizados; Os controlos do Catálogo Unity determinam o que os utilizadores autorizados e os computadores podem fazer com os dados que lhes é permitido aceder. Você precisa de ambos.

Controlos de rede:

• Isolamento de rede: Implementar cargas de trabalho em redes privadas sem acesso público à internet.
• Conectividade privada: Use Private Link para aceder a serviços cloud sem exposição à internet.
• Controlo de saída: Controla o acesso de saída usando controlos baseados em firewall ou proxy.
• Políticas de acesso ao armazenamento: Restringa quais as contas de armazenamento e os serviços que as cargas de trabalho podem alcançar.

Controlos do Unity Catalog:

• Controlo de acesso padrão: GRANT e REVOKE permissões em catálogos, esquemas, tabelas e volumes.
• Controlo de acesso baseado em atributos (ABAC): Governa o acesso aos dados com base em atributos (etiquetas) associados a objetos de dados, não apenas na identidade do objeto.
• Filtros de linhas e máscaras de coluna: Aplique segurança ao nível da linha e da coluna para restringir o que os utilizadores veem numa tabela.
• Associações do catálogo a espaços de trabalho: Isole os espaços de trabalho que podem aceder a determinados dados.
• Registo de auditorias: Capturar todos os acessos aos dados para monitorização e conformidade.

Como se relaciona com cada arquitetura de rede

A profundidade dos controlos de rede escala consoante a arquitetura que escolher. Os controlos do Catálogo Unity aplicam-se de forma idêntica em todas as três arquiteturas e regulam o que os utilizadores autorizados e a computação podem fazer com os dados, não mudando consoante a sua postura de rede.

Os controlos de rede, por si só, não impedem que utilizadores autorizados usem indevidamente o acesso. Combine-os com os controlos do Unity Catalog para proteção completa contra a exfiltração de dados.

Quando implementar

Implementar proteção contra exfiltração de dados quando:

• Lidar com dados altamente sensíveis ou regulados (financeiros, de saúde, governamentais).
• Os quadros de conformidade exigem controlos de saída (por exemplo, SOC 2, HIPAA, PCI DSS e FedRAMP).
• A sua organização exige total visibilidade sobre o movimento de dados.
• As regulamentações da indústria proíbem a transferência de dados para regiões ou serviços específicos.

Camadas de segurança

A proteção contra exfiltração de dados combina múltiplos mecanismos de segurança. A tabela seguinte resume cada camada e a sua implementação no Azure:

Para as arquiteturas de referência completas que implementam estas camadas na AWS e Azure, veja Arquitetura de proteção por exfiltração de dados.

Considerações de custos

A proteção contra exfiltração de dados tem custos de rede mais elevados do que as implementações padrão devido à infraestrutura adicional necessária para conectividade privada e inspeção de tráfego.