Folgen Wie bei Snowflake kann „Databricks-Protokolle“ Sicherheitsdaten bedeuten, die Sie in Delta-Tabellen aufbewahren, oder das eigene Audit-Protokoll von Databricks in der system.access.audit Systemtabelle. Der einfachste Export für beide ist eine Notebook-Zelle. Abfrage mit Spark SQL, schreiben Sie das Ergebnis als JSON in ein Unity Catalog-Volume und laden Sie es dann mit der Databricks CLI herunter. Spark schreibt JSON im zulässigen Zeilenstapel, sodass die Dateien zum Hochladen bereit sind.
Databricks wird zunehmend als Sicherheitsdatensee genutzt und sein Audit-Protokoll ist eigenständig wichtig: Wer hat sich eingeloggt, wer hat Tokens erstellt, wer hat Berechtigungen geändert. Prime Core verfügt über mehr als 24.000 einzigartige Erkennungsregeln, die 676 MITRE ATT&CK-Techniken zugeordnet sind. Unten wird beschrieben, wie Sie die Daten extrahieren, bereinigen und kostenlos in LogTotal untersuchen können.
Bevor Sie anfangen
Zugriff. Das Lesen von system.access.audit erfordert das Aktivieren des Systemschemas für Ihren Metastore und einen SELECT-Berechtigungszuschuss von einem Konto- oder Metastore-Administrator. Für Ihre eigenen Tabellen benötigen Sie die üblichen Unity Catalog-Berechtigungen.
Ein Volume zum Schreiben. Sie benötigen einen Unity Catalog-Volume, auf den Sie schreiben können, beispielsweise /Volumes/security/exports/logtotal, und die Databricks CLI, die auf Ihrer Maschine konfiguriert ist.
Rechnen. Ein Notebook benötigt ein Cluster oder Serverless-Compute. Filtern Sie nach Datum, damit Sie nicht mehr scannen als nötig.
Export aus einem Notebook
(spark.sql("""
SELECT *
FROM system.access.audit
WHERE event_date = '2026-10-19'
AND action_name IN ('login', 'tokenLogin', 'generateDbToken')
""")
.write.mode("overwrite")
.json("/Volumes/security/exports/logtotal/audit_20261019"))
Spark schreibt mehrere part-*.json Dateien plus Markierungsdateien. Laden Sie sie herunter und kombinieren Sie sie:
databricks fs cp -r dbfs:/Volumes/security/exports/logtotal/audit_20261019 ./audit_20261019
cat ./audit_20261019/part-*.json > databricks_audit_20261019.jsonl
Ändern Sie für Ihre eigenen Sicherheitstabellen die Abfrage: Abfragen aus Ihrer Tabelle und nach ihrer Zeitstempelspalte filtern.
Ohne ein Notebook, kann die SQL Statement Execution API dieselbe Abfrage auf einem SQL-Lager ausführen und JSON zurückgeben. Zeilen kommen als Arrays zurück, mit den Spaltennamen in einem separaten Manifest, sodass Sie einen zusätzlichen Schritt benötigen, um sie in Objekte zu verwandeln. Für alles Größeres ist der Notebook-Weg einfacher.
Was im Audit-Protokoll zu beachten ist
Achten Sie auf Logins und Token-Logins von ungewöhnlichen IP-Adressen, neue persönliche Zugriffstoken, Änderungen an Berechtigungen und Gruppenmitgliedschaften sowie Änderungen an der Arbeitsbereichs- oder Clusterkonfiguration außerhalb der normalen Arbeitszeiten. Auch Massen-Downloads von Notebooks oder Ergebnissen sind einen Blick wert.
Hochladen, bereinigen und in LogTotal prüfen
- Hochladen. Öffnen logtotal.com und die .jsonl-Datei ablegen.
- Bereinigen.
- Prüfen.
Wenn es schief läuft
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| system.access.audit nicht gefunden | Systemschema nicht aktiviert | Bitten Sie einen Kontoadministrator, es zu aktivieren |
| Keine Berechtigung für die Systemtabelle | Kein SELECT-Zuschuss | Bitten Sie einen Metastore-Administrator um den Zuschuss |
| Kann nicht auf das Volume schreiben | WRITE VOLUME fehlt | Verwenden Sie ein Volume, auf das Sie schreiben können |
| Der Download enthält _SUCCESS und andere Dateien | Spark-Markierungsdateien | Kombinieren Sie nur part-*.json |
| Enorme, langsame Abfrage | Kein Datumsfilter | Nach event_date filtern |
FAQ
Wird das Audit-Protokoll auch an den Cloud-Speicher geliefert?
Arbeitsbereiche können Audit-Protokolle auch in Ihren eigenen Speicher liefern. Wenn das eingerichtet ist, können Sie diese Dateien direkt kopieren.
Funktioniert das auch in Arbeitsbereichen ohne Unity Catalog?
Die Systemtabellen benötigen Unity Catalog. Ältere Arbeitsbereiche verlassen sich auf die Lieferung von Prüfprotokollen an den Speicher und schreiben zu DBFS-Pfaden anstelle von Volumes.
