数据外泄防护

数据外泄保护是一种深度防御方法，可将网络控件与数据管理控制相结合。 它适用于所有三 种网络安全体系结构。 本页介绍如何结合网络级控件和 Unity Catalog 控件，以防止在 Azure Databricks 部署中发生未经授权的数据传输。

有关实现这些控件的端到端参考体系结构，请参阅 数据外泄保护体系结构。

什么是数据外泄保护？

数据外泄是指未经授权将敏感数据从您的 Azure Databricks 环境中传出。 借助数据外泄保护，可以避免利用开放网络路径、配置不当的存储、过度宽松的出口规则或泄露的凭据。 还可以阻止拥有合法访问权限的用户下载查询结果，或将其写入未经批准的外部目的地。

网络控制会阻断未经授权的网络路径；Unity Catalog 控制则用于规定获授权的用户和计算资源可以对其获准访问的数据执行哪些操作。 两个都需要。

网络控制：

• 网络隔离：在没有公共 Internet 访问的专用网络中部署工作负荷。
• 专用连接：使用 专用链接 在无需暴露于互联网的情况下访问云服务。
• 出口控制：使用防火墙或基于代理的控制来控制出站访问。
• 存储访问策略：限制哪些存储帐户和服务工作负载可以访问。

Unity 目录控件：

• 标准访问控制： GRANT 和 REVOKE 目录、架构、表和卷的权限。
• 基于属性的访问控制（ABAC）：基于附加到数据对象的属性（标记）管理数据访问，而不仅仅是对象标识。
• 行筛选器和列掩码：应用行级别和列级安全性以限制用户在表中看到的内容。
• 工作区目录绑定：隔离哪些工作区可以访问哪些数据。
• 审计日志：记录所有数据访问，以用于监控和合规。

它与每个网络体系结构的关系

网络控制功能的深度会随所选架构而变化。 Unity 目录控件适用于所有三种体系结构，并控制授权用户和计算可以对数据执行的操作，并且不会根据网络状况进行更改。

仅网络控制不会阻止授权用户误用访问。 将它们与 Unity 目录控件相结合，实现完整的数据外泄保护。

何时实现

在以下情况下实现数据外泄保护：

• 处理高度敏感的或受监管的数据（财务、医疗保健、政府）。
• 合规性框架强制实施出口控制（例如 SOC 2、HIPAA、PCI DSS 和 FedRAMP）。
• 你的组织需要完全了解数据移动。
• 行业法规禁止向特定区域或服务传输数据。

安全层

数据外泄保护结合了多种安全机制。 下表汇总了每个层及其Azure实现：

有关在 AWS 和 Azure 上实现这些层的完整参考体系结构，请参阅 Data 外泄保护体系结构。

成本注意事项

由于专用连接和流量检查所需的额外基础结构，数据外泄保护的网络成本高于标准部署。