Linha de base de segurança do Azure para o Azure Databricks

  • Artigo

Essa linha de base de segurança aplica diretrizes do Microsoft Cloud Security Benchmark versão 1.0 ao Azure Databricks. O Microsoft Cloud Security Benchmark fornece recomendações sobre como você pode proteger suas soluções de nuvem no Azure. O conteúdo é agrupado pelos controles de segurança definidos pelo parâmetro de comparação de segurança de nuvem da Microsoft e pelas diretrizes relacionadas aplicáveis ao Azure Databricks.

Você pode monitorar essa linha de base de segurança e as recomendações usando o Microsoft Defender para Nuvem. Azure Policy definições serão listadas na seção Conformidade Regulatória da página do portal do Microsoft Defender for Cloud.

Quando um recurso tem definições de Azure Policy relevantes, eles são listados nesta linha de base para ajudá-lo a medir a conformidade com os controles e recomendações de parâmetros de comparação de segurança de nuvem da Microsoft. Algumas recomendações podem exigir um plano de Microsoft Defender pago para habilitar determinados cenários de segurança.

Observação

Os recursos não aplicáveis ao Azure Databricks foram excluídos. Para ver como o Azure Databricks é mapeado completamente para o parâmetro de comparação de segurança de nuvem da Microsoft, confira o arquivo completo de mapeamento de linha de base de segurança do Azure Databricks.

Perfil de segurança

O perfil de segurança resume comportamentos de alto impacto do Azure Databricks, o que pode resultar em maiores considerações de segurança.

Atributo de comportamento do serviço Valor
Categoria do Produto Análise, Armazenamento
O cliente pode acessar HOST/SO Sem Acesso
O serviço pode ser implantado na rede virtual do cliente Verdadeiro
Armazena o conteúdo do cliente em repouso Verdadeiro

Segurança de rede

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: segurança de rede.

NS-1: estabelecer limites de segmentação de rede

Recursos

Integração de rede virtual

Descrição: o serviço dá suporte à implantação na VNet (Rede Virtual privada) do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: a implantação padrão do Azure Databricks é um serviço totalmente gerenciado no Azure: todos os recursos do plano de dados, incluindo uma VNet à qual todos os clusters serão associados, são implantados em um grupo de recursos bloqueado. No entanto, se você precisar de personalização de rede, poderá implantar os recursos do plano de dados do Azure Databricks em sua rede virtual (injeção de VNet), permitindo a implementação de configurações de rede personalizadas. Você pode aplicar seu NSG (grupo de segurança de rede) com regras personalizadas para restrições específicas de tráfego de saída.

Referência: Integração VNET do Databricks

Suporte ao Grupo de Segurança de Rede

Descrição: o tráfego de rede de serviço respeita a atribuição de regra de Grupos de Segurança de Rede em suas sub-redes. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use NSG (grupos de segurança de rede) para restringir ou monitorar o tráfego por porta, protocolo, endereço IP de origem ou endereço IP de destino. Crie regras de NSG para restringir as portas abertas do serviço (como impedir que portas de gerenciamento sejam acessadas de redes não confiáveis). Lembre-se de que, por padrão, os NSGs negam todo o tráfego de entrada, mas permitem o tráfego da rede virtual e de Azure Load Balancers.

Referência: Grupo de Segurança de Rede

NS-2: proteger serviços de nuvem com controles de rede

Recursos

Descrição: funcionalidade de filtragem de IP nativa do serviço para filtrar o tráfego de rede (não deve ser confundida com NSG ou Firewall do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Desabilitar o acesso à rede pública

Descrição: o serviço dá suporte à desabilitação do acesso à rede pública usando a regra de filtragem de ACL de IP no nível de serviço (não NSG ou Firewall do Azure) ou usando um comutador de alternância "Desabilitar Acesso à Rede Pública". Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: os clientes do Azure Databricks podem usar o recurso listas de acesso IP para definir um conjunto de endereços IP aprovados para impedir o acesso de IP público ou endereços IP não aprovados.

Referência: lista de acesso ip no Databricks

Gerenciamento de identidades

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: gerenciamento de identidades.

IM-1: usar um sistema centralizado de identidade e autenticação

Recursos

Autenticação do Azure AD necessária para acesso ao plano de dados

Descrição: o serviço dá suporte ao uso Azure AD autenticação para acesso ao plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

IM-3: gerenciar identidades de aplicativos de maneira segura e automática

Recursos

Identidades gerenciadas

Descrição: as ações do plano de dados dão suporte à autenticação usando identidades gerenciadas. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Notas de recurso: o Azure Databricks é configurado automaticamente para usar o logon único do Azure Active Directory (Azure AD) para autenticar usuários. Os usuários de fora da sua organização devem concluir o processo de convite e serem adicionados ao seu locatário do Active Directory antes de poderem fazer logon no Azure Databricks por meio do logon único. Você pode implementar o SCIM para automatizar o provisionamento e desprovisionamento de usuários em workspaces.

Entender o logon único para o Azure Databricks

Como usar as APIs do SCIM para o Azure Databricks

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Entidades de Serviço

Descrição: o plano de dados dá suporte à autenticação usando entidades de serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: para serviços que não dão suporte a identidades gerenciadas, use o Azure Active Directory (Azure AD) para criar uma entidade de serviço com permissões restritas no nível do recurso. Configure entidades de serviço com credenciais de certificado e faça fallback para segredos do cliente para autenticação.

Referência: Entidade de serviço no Databricks

IM-7: restringir o acesso aos recursos com base nas condições

Recursos

Acesso condicional para o plano de dados

Descrição: o acesso ao plano de dados pode ser controlado usando Azure AD Políticas de Acesso Condicional. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recursos: além disso, o Azure Databricks dá suporte a listas de acesso IP para tornar o acesso ao aplicativo Web e à API REST mais seguro.

Listas de acesso a IP no Databricks

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Acesso condicional no Databricks

IM-8: restringir a exposição de credenciais e segredos

Recursos

Armazenamento e integração de suporte a segredos e credenciais de serviço no Azure Key Vault

Descrição: o plano de dados dá suporte ao uso nativo de Key Vault do Azure para armazenamento de credenciais e segredos. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recursos: o Azure Databricks também dá suporte a um escopo secreto armazenado em (com suporte) em um banco de dados criptografado de propriedade e gerenciado pelo Azure Databricks.

Escopos com suporte do Databricks

Diretrizes de configuração: verifique se os segredos e as credenciais são armazenados em locais seguros, como Key Vault do Azure, em vez de inseri-los em arquivos de código ou de configuração.

Referência: integração Key Vault no Databricks

Acesso privilegiado

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: acesso privilegiado.

PA-7: Siga apenas o princípio da administração Just Enough ( privilégios mínimos)

Recursos

RBAC do Azure para Plano de Dados

Descrição: o RBAC do Azure (Azure Role-Based Controle de Acesso) pode ser usado para obter acesso gerenciado às ações do plano de dados do serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Notas de recursos: você pode usar APIs scim do Azure Databricks para gerenciar usuários em um workspace do Azure Databricks e conceder privilégios administrativos a usuários designados.

Como usar as APIs de SCIM

No Azure Databricks, você pode usar ACLs (listas de controle de acesso) para configurar a permissão para acessar diferentes objetos de workspace.

Controle de acesso no Databricks

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: Como gerenciar o controle de acesso no Azure Databricks

PA-8: determinar o processo de acesso para suporte ao provedor de nuvem

Recursos

Sistema de Proteção de Dados do Cliente

Descrição: o Sistema de Proteção de Dados do Cliente pode ser usado para acesso de suporte da Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: em cenários de suporte em que a Microsoft precisa acessar seus dados, use o Sistema de Proteção de Dados do Cliente para revisar e, em seguida, aprovar ou rejeitar cada uma das solicitações de acesso a dados da Microsoft.

Referência: Sistema de Proteção de Dados do Cliente

Proteção de dados

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: proteção de dados.

DP-3: criptografar dados confidenciais ativos

Recursos

Criptografia de dados em trânsito

Descrição: o serviço dá suporte à criptografia de dados em trânsito para o plano de dados. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recurso: por padrão, os dados trocados entre nós de trabalho em um cluster não são criptografados. Se o ambiente exigir que os dados sejam criptografados o tempo todo, você poderá criar um script de inicialização que configure seus clusters para criptografar o tráfego entre nós de trabalho.

Diretrizes de Configuração: habilite a transferência segura em serviços em que há um recurso nativo de criptografia de trânsito integrado. Imponha HTTPS em qualquer aplicativo Web e serviços e verifique se o TLS v1.2 ou posterior é usado. Versões herdadas como SSL 3.0, TLS v1.0 devem ser desabilitadas. Para gerenciamento remoto de Máquinas Virtuais, use SSH (para Linux) ou RDP/TLS (para Windows) em vez de um protocolo não criptografado.

Referência: Criptografia de dados em trânsito para Databricks

DP-4: habilitar a criptografia de dados inativos por padrão

Recursos

Criptografia de dados em repouso usando chaves de plataforma

Descrição: há suporte para a criptografia de dados em repouso usando chaves de plataforma, qualquer conteúdo do cliente em repouso é criptografado com essas chaves gerenciadas pela Microsoft. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
True True Microsoft

Diretrizes de configuração: nenhuma configuração adicional é necessária, pois isso está habilitado em uma implantação padrão.

Referência: criptografia de dados inativos usando chaves gerenciadas pela plataforma no Databricks

DP-5: usar a opção de chave gerenciada pelo cliente na criptografia de dados inativos quando necessário

Recursos

Criptografia de dados inativos usando a CMK

Descrição: a criptografia de dados em repouso usando chaves gerenciadas pelo cliente tem suporte para o conteúdo do cliente armazenado pelo serviço. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recursos: o Azure Databricks tem dois recursos principais gerenciados pelo cliente para diferentes tipos de dados.

Chaves gerenciadas pelo cliente para criptografia

Diretrizes de configuração: se necessário para conformidade regulatória, defina o caso de uso e o escopo do serviço em que a criptografia usando chaves gerenciadas pelo cliente é necessária. Habilite e implemente a criptografia de dados inativos usando a chave gerenciada pelo cliente para esses serviços.

Referência: Criptografia de dados em repouso usando CMK no Databricks

DP-6: usar um processo de gerenciamento de chaves seguro

Recursos

Gerenciamento de chaves no Azure Key Vault

Descrição: o serviço dá suporte à integração de Key Vault do Azure para quaisquer chaves, segredos ou certificados do cliente. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recurso: observe que você não pode usar um token de acesso pessoal do Azure Databricks ou um token de aplicativo Azure AD que pertence a uma entidade de serviço.

Evitar token de acesso pessoal

Diretrizes de configuração: use o Azure Key Vault para criar e controlar o ciclo de vida de suas chaves de criptografia, incluindo geração, distribuição e armazenamento de chaves. Gire e revogue suas chaves no Azure Key Vault e seu serviço com base em um agendamento definido ou quando houver uma desativação ou comprometimento importante. Quando houver a necessidade de usar a CMK (chave gerenciada pelo cliente) na carga de trabalho, no serviço ou no nível do aplicativo, verifique se você segue as práticas recomendadas para o gerenciamento de chaves: use uma hierarquia de chaves para gerar uma DEK (chave de criptografia de dados) separada com a KEK (chave de criptografia de chave) no cofre de chaves. Verifique se as chaves estão registradas no Key Vault do Azure e referenciadas por meio de IDs de chave do serviço ou aplicativo. Se você precisar trazer sua própria chave (BYOK) para o serviço (como importar chaves protegidas por HSM de seus HSMs locais para o Azure Key Vault), siga as diretrizes recomendadas para executar a geração inicial de chaves e a transferência de chave.

Referência: Gerenciamento de chaves no Databricks

Gerenciamento de ativos

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de ativos.

AM-2: usar apenas serviços aprovados

Recursos

Suporte ao Azure Policy

Descrição: as configurações de serviço podem ser monitoradas e impostas por meio de Azure Policy. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: use Microsoft Defender para Nuvem para configurar Azure Policy para auditar e impor configurações de seus recursos do Azure. Use o Azure Monitor para criar alertas quando houver um desvio da configuração detectado nos recursos. Use Azure Policy efeitos [negar] e [implantar se não existir] para impor a configuração segura entre os recursos do Azure.

Referência: Azure Policy do Databricks

Registro em log e detecção de ameaças

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Registro em log e detecção de ameaças.

LT-1: habilitar funcionalidades de detecção de ameaças

Recursos

Microsoft Defender para oferta de serviço/produto

Descrição: o serviço tem uma solução de Microsoft Defender específica da oferta para monitorar e alertar sobre problemas de segurança. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

LT-4: habilitar o registro em log para investigação de segurança

Recursos

Azure Resource Logs

Descrição: o serviço produz logs de recursos que podem fornecer métricas e logs avançados específicos do serviço. O cliente pode configurar esses logs de recursos e enviá-los para seu próprio coletor de dados, como uma conta de armazenamento ou um workspace do Log Analytics. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Diretrizes de configuração: para registro em log de auditoria, o Azure Databricks fornece logs de diagnóstico abrangentes de ponta a ponta de atividades executadas por usuários do Azure Databricks, permitindo que sua empresa monitore padrões de uso detalhados do Azure Databricks.

Observação: os logs de diagnóstico do Azure Databricks exigem o Plano Premium do Azure Databricks.

Como habilitar as configurações de diagnóstico para o Log de Atividades do Azure

Como habilitar as configurações de diagnóstico para o Azure Databricks

Referência: Logs de recursos no Databricks

Gerenciamento de vulnerabilidades e postura

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: Gerenciamento de postura e vulnerabilidades.

PV-3: definir e estabelecer configurações seguras para recursos de computação

Recursos

Outras diretrizes para PV-3

Quando você cria um cluster do Azure Databricks, ele cria imagens de VM base. O código do usuário é executado em contêineres que são implantados nas VMs. Implemente uma solução de gerenciamento de vulnerabilidades de terceiros. Se você tiver uma assinatura da plataforma de gerenciamento de vulnerabilidades, use os scripts de inicialização do Azure Databricks, executando os contêineres em cada um dos nós, para instalar agentes de avaliação de vulnerabilidade em seus nós de cluster do Azure Databricks e gerenciar os nós por meio do respectivo portal. Observe que cada solução de terceiros funciona de maneira diferente.

Scripts de inicialização de nó de cluster do Databricks

Backup e recuperação

Para obter mais informações, consulte o parâmetro de comparação de segurança de nuvem da Microsoft: backup e recuperação.

BR-1: garantir backups automatizados regulares

Recursos

Serviço de Backup do Azure

Descrição: o serviço pode ser feito com backup pelo serviço Backup do Azure. Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Falso Não Aplicável Não Aplicável

Diretrizes de configuração: não há suporte para esse recurso para proteger esse serviço.

Funcionalidade de backup nativo de serviço

Descrição: o serviço dá suporte à sua própria funcionalidade de backup nativo (se não estiver usando Backup do Azure). Saiba mais.

Com suporte Habilitado por padrão Responsabilidade de configuração
Verdadeiro Falso Cliente

Notas de recurso: para suas fontes de dados do Azure Databricks, verifique se você configurou um nível apropriado de redundância de dados para seu caso de uso. Por exemplo, se estiver usando uma conta de Armazenamento do Azure para o armazenamento de dados do Azure Databricks, escolha a opção de redundância adequada (LRS, ZRS, GRS, RA-GRS).

Fontes de dados para o Azure Databricks

Diretrizes de configuração: não há diretrizes atuais da Microsoft para essa configuração de recursos. Examine e determine se sua organização deseja configurar esse recurso de segurança.

Referência: recuperação de desastre regional para clusters do Azure Databricks

Próximas etapas