Databricks: ontdekken van aanvallen op basis van credentials

Samenvatting

Databricks detecteert aanvallen met gestolen credentials via system tables en de Genie-agent van de Detection App.

Databricks en credential-aanvallen: wat er gebeurt

Aanvallers gebruiken gelekte sessiecookies, personal access tokens of service-principal-credentials om zich als een geldige gebruiker aan te melden bij Databricks. Daarna proberen ze hun gedrag te laten lijken op normale activiteit, terwijl ze toegang tot de omgeving verkennen.

De Databricks-aanpak volgt gedragsveranderingen tijdens zes fasen van een aanval. System tables, uitgebreide auditlogs en de Genie-agent in de Detection App signaleren afwijkingen. Het artikel bevat kant-en-klare queries voor detectie en respons, plus ingress- en least-privilege-controles die beperken welke onderdelen een gestolen credential kan bereiken.

Waarom Databricks-detectie belangrijk is

Een geldige login wijst niet automatisch op legitiem gebruik. Een aanvaller beschikt mogelijk over de sleutel, maar mist de context van de medewerker achter het account. Daardoor kunnen afwijkende handelingen zichtbaar worden in toegangsbronnen, geraadpleegde objecten en de volgorde van acties.

Databricks beschrijft een scenario waarin een personal access token uit een verkeerd geconfigureerd CI/CD-log komt. Het token wordt vanaf een nieuw IP-adres gebruikt om secret scopes, catalogi en repositories te inventariseren. Daarna leest de aanvaller een secret met service-principal-credentials. Een uur later maakt die service principal een functie aan en voegt zichzelf toe als beheerder.

De casus laat zien waarom detectie niet alleen naar identiteit kijkt. Teams moeten ook bron-IP, objecttoegang, privilegewijzigingen en opeenvolgende acties met elkaar verbinden. Ingress-beperkingen en minimale rechten verkleinen intussen het bereik van een gecompromitteerde credential.

Concrete takeaway voor Databricks-beheerders

Controleer of auditlogs, system tables en de Detection App beschikbaar zijn en test de meegeleverde detectiequeries met scenario’s rond PATs, sessiecookies en service principals. Beperk daarnaast netwerktoegang en rechten per identiteit, zodat een gestolen credential niet automatisch toegang geeft tot secret scopes, catalogi, repositories of beheerfuncties.