セキュリティ分析ツール (SAT) のご紹介

Databricksでは、データは組織にとって最も価値のある資産の1つであり、その保護が最優先事項であることを認識しています。そのため、私たちはDatabricks Lakehouse Platformのあらゆるレイヤーにセキュリティを組み込みました。しかし、顧客がデプロイのアーキテクチャがwell-architectedであるか、十分に強化されている領域と注意が必要な領域はどこかを評価するのに苦労することがあると認識しています。プラットフォームをデプロイする際に自信があったとしても、セキュリティチームが再評価を行わない可能性があり、設定のドリフトが意図せずデータや知的財産の侵害につながる可能性があります。「鎖の強さは最も弱い輪で決まる」と言われるように、顧客からは次のような質問が寄せられます。

• Databricks のセキュリティに関するベストプラクティスに従っているかどうかを確認するには、どうすればよいですか？
• 自分のすべてのアカウントワークスペースのセキュリティの健全性を、長期的に簡単に監視するにはどうすればよいですか？

セキュリティ分析ツール（SAT）のリリースをお知らせします！SATは、現在のデプロイメントを当社のセキュリティベストプラクティスと照らし合わせてレビューすることで、顧客がこれらの疑問を解決し、Databricksデプロイメントを堅牢化するのに役立ちます。重大度別に逸脱の優先順位を付け、問題解決に役立つリソースへのリンクを提示するチェックリストを使用します。SATを環境内のすべてのワークスペースで定期スキャンとして実行すると、ベストプラクティスを継続的に順守できるようになります。また、ヘルスレポートのスケジュールを設定して、機密データセットのセキュリティに対する信頼性を常に確保できます。

SATは、お客様のアカウントで自動化されたワークフローとして実行され、Databricks REST APIを介してデプロイメントの詳細を収集します。スキャン結果はDeltaテーブルに永続化され、セキュリティの健全性の傾向を長期的に分析します。SATには、検出結果を「ネットワークセキュリティ」、「アイデンティティとアクセス」、「データ保護」、「ガバナンス」、「情報」の5つのセキュリティカテゴリにグループ化して表示するダッシュボードが含まれています。セキュリティチームは、SATが安全でない構成やポリシー違反を検出したときに通知するアラートを設定できます。また、失敗した個々のチェックに関する詳細も提供されるため、管理者は問題を迅速に特定して修正できます。備えあれば憂いなし！

SAT のコンポーネント

SAT は以下のアセットで構成されています。

• 設定可能なセキュリティ チェックリスト
• REST APIを使用して詳細を収集するノートブックとライブラリのセット、および適合性を判断するためのロジック
• チェック結果を表示するための、パラメータ化されたSQLダッシュボードと関連するクエリーおよびアラート
• 日付別に整理された、監査可能な毎日のスキャンを含む柔軟なワークフロー

上記（図2）に示すように、SATコンポーネントは図中の数字が示す通り、顧客のワークスペースで実行されます。各コンポーネントは、以下の機能を実行します。

1. SAT ワークフロー: スケジュールされた、または手動で実行された SAT ワークフロー ジョブがスキャンを起動します。
2. SAT Notebook: SAT セキュリティ分析ノートブックは、登録済みのワークスペースで一連のベストプラクティス チェックを実行して、セキュリティ スキャンを実行します。
3. SAT の結果：SAT Security Analysis ノートブックは、傾向分析や履歴参照のために、検証結果を Delta テーブルに保存します。
4. SAT ダッシュボード: 事前構築済みの SAT ダッシュボードには、Delta テーブルから取得した最新のスキャン結果が表示されます。管理者、セキュリティ アナリスト、監査人は、単一の画面で Databricks のセキュリティ体制を評価できるようになりました。

SAT デプロイの詳細

SATのセットアップと使用は、下の図（図3）に示すように、3つのフェーズに分けることができます。

1. デプロイと設定
   SATのセットアップには管理者権限が必要で、次のアクティビティが含まれます:
   • 選択したワークスペースでは、管理者がこちらのドキュメントに従って、一連のノートブックを使用して初回のセットアップを 1 度行います。
   • リストのすべてのチェックはデフォルトで有効になっていますが、管理者は不要なものをオフにすることができます。
   • 管理者は Databricks アカウントの各ワークスペースに PAT トークンを提供し、接続が検証されます。毎日のチェックには、設定済みのワークスペースのみが含まれます。
   • ワークフローは、スケジュールされた間隔で（通常は毎日）ランするように設定されています。
2. 設定済みのすべての環境の日次評価
   • スケジュールされたワークフローは毎日実行されます。設定された各ワークスペースにおけるその日のチェックは Delta テーブルに永続化され、傾向分析と履歴参照が可能になります。
3. インサイトの利用
   • 管理者、セキュリティ アナリスト、監査人は、Databricks SQL ダッシュボードでワークスペースごとに結果を表示できます

Security Analysis Toolをインストールするための詳細な手順については、こちらをご覧ください。

SAT インサイト

SATダッシュボードには、各ワークスペースのセキュリティスキャン結果が重要度順に表示されます（図4）。

ダッシュボードは 5 つのセクションに分かれており、各ピラーは一貫した形式でレイアウトされています。

1. ワークスペースのセキュリティ概要
   • 高レベルのサマリーでは、カテゴリごとに検出結果が強調表示され、重大度別に分類されています。
2. ワークスペースの統計
   • このセクションでは、ユーザー、グループ、データベース、テーブルの数に関する使用統計、およびティアやリージョンなどのサービス詳細を提供します。
3. 各セキュリティカテゴリの詳細
   • 各セキュリティカテゴリのセクションには、以下が含まれます。
     • セキュリティセクションの概要詳細（推奨ベストプラクティスからの逸脱件数など）
     • セキュリティ カテゴリについて、セキュリティ検出結果の詳細を重大度順に並べ替えたテーブル。このテーブルでは各セキュリティ違反について説明し、検出結果の修正に役立つドキュメントへのリンクを提供します。
4. 情報セクション
   • これらは本質的に規範的なものではありませんが、データペルソナが自身の組織のthresholdが正しく設定されているかを確認するために精査できるデータポイントを提供します。
5. 検出結果の詳細
   • このセクションでは、セキュリティ逸脱を検出するために使用されるロジックを含め、そのソースの特定に役立つ追加情報を提供します。例えば、「クラスターポリシーが使用されていません」では、ポリシーが適用されていないクラスターワークロードのリストが表示されるため、干し草の山から針を探すような手間を省くことができます。

リスク軽減のための SAT の使用方法

セキュリティ分析ツール (SAT) は 37 のベストプラクティスを分析し (今後さらに追加予定)、その知見をダッシュボードで提示します。これらの知見をどう活用しますか？ここでは 2 つの例を使用して、一般的なユーザーが知見をどのように活用するかを説明します。

最初の例では、SATスキャンが潜在的なリスクを示す1つの検出結果（図5の赤いチェックマーク）を強調表示しています。非推奨のランタイムバージョンのチェックは赤色になっており、非推奨のランタイムが存在することを示しています。サポート対象外のランタイム バージョン上のワークロードは引き続き実行される場合がありますが、Databricks によるサポートや修正は提供されません。検出結果に関連付けられた「チェック ID」を「追加の詳細」セクションで使用して、特定のベストプラクティス ルールに違反した構成設定またはコントロールに関する、より詳細な情報をクエリーできます。たとえば、下の画像は、管理者が調査するための「非推奨のランタイム バージョン」のリスクに関する追加の詳細を示しています。スクリーンショットの「修正」列には、リスクと必要な修正措置が記載されており、現在サポートされているDatabricks runtimeバージョンのドキュメントへのリンクも含まれています。ユーザーは、検出結果の重大度に応じて、推奨される修正措置を速やかに実行する必要があります。

2番目の例では、Databricksのベストプラクティスを満たす1つの検出結果（図5の緑色のチェックマーク）を強調表示します。Logs配信のチェックは緑色で、ワークスペースがDatabricksのセキュリティベストプラクティスに従っていることを示しています。同様に、「追加の詳細」セクションで「チェックID」（「GOV-3」）を使用して、詳細情報を取得できます。これ以上の操作は必要ありませんが、Databricksアカウントのワークスペースのセキュリティを包括的に確認し、継続的な改善を確実にするために、これらのチェックを定期的に実行することをお勧めします。

まとめ

このブログ記事では、Databricks Lakehouse Platform向けのセキュリティ分析ツールを紹介しました。また、SAT を数ステップで簡単にセットアップし、お使いの Databricks アカウント ワークスペースのセキュリティの健全性を長期にわたって観察できることもご覧いただきました。また、お客様がDatabricksデプロイメントを強化できるよう、検出の例も示しました。DatabricksデプロイメントにSATをセットアップするか、Databricksのアカウントチームにサポートを依頼することをお勧めします。Databricksのセキュリティに関する今後のブログ記事やビデオコンテンツにご期待ください。

Databricks のセキュリティへの取り組みについてご興味がある場合は、当社の セキュリティ & トラストセンターをご確認ください。Databricks セキュリティのベストプラクティスのドキュメントを確認することをお勧めします。SAT に関するご質問やご提案がございましたら、[email protected] までお気軽にお問い合わせください。

(このブログ記事はAI翻訳ツールを使用して翻訳されています) 原文記事