Cómo Configurar DataSunrise para Enmascarar Datos para Amazon Athena
Ampliamos nuestras oportunidades introduciendo el Enmascaramiento Dinámico para Amazon Athena. Ahora puede ofuscar datos sensibles de Athena sobre la marcha para protegerlos de personas no autorizadas.
Las aplicaciones cliente usan una conexión cifrada para conectarse a Athena. DataSunrise puede enmascarar datos en Athena solo en el modo Proxy. En ese caso, una conexión segura se divide en dos: de una aplicación cliente a DataSunrise y de DataSunrise a Athena. Al mismo tiempo, verifica el certificado del servidor. Si este certificado es autofirmado, algunas aplicaciones pueden considerar que una conexión es insegura y rechazarla.
Por defecto, DataSunrise tiene un certificado SSL autofirmado que se utiliza para establecer una conexión cifrada entre una aplicación cliente y un proxy de DataSunrise.
Hay dos opciones para una conexión a Athena a través de un proxy de DataSunrise:
- Usar el certificado autofirmado de DataSunrise;
- Usar un certificado SSL debidamente firmado por una Autoridad de Certificación determinada.
Si un certificado es auténtico, se establecerá una conexión. De lo contrario, será considerado por una aplicación cliente como un ataque de intermediario y la conexión no se establecerá a menos que la aplicación cliente esté debidamente configurada. En este artículo, revisaremos este proceso usando DBeaver como ejemplo.
Creación de Instancia para Amazon Athena
Primero, necesita crear una Instancia para Athena en DataSunrise. Esto es necesario para crear un perfil de base de datos. El comienzo es el mismo para todas las bases de datos: simplemente ingrese los detalles de conexión para su Athena. Tenga en cuenta que los resultados de las consultas se almacenan en buckets de S3, por lo que necesita especificar un bucket de S3 en el campo Ubicación de Resultado de Consultas.
A continuación, en la sección Modo de Captura, necesita seleccionar Proxy. En el campo Claves de Proxy seleccione Crear Nuevo para generar un nuevo Grupo de Claves SSL y adjuntarlo a su proxy.
Después de eso, haga clic en Guardar.
Importar Certificado en Keystore
Haga lo siguiente:
- Después de adjuntar un nuevo Grupo de Claves SSL a su proxy en DataSunrise, navegue hasta Configuración → Grupos de Claves SSL. Localice su Grupo de Claves SSL en la lista y ábralo, copie el Certificado del campo correspondiente en un archivo de texto. Por ejemplo, cree un archivo con el nombre dsca.crt y pegue el certificado allí. Coloque el archivo en la carpeta C:\athena.
- Ejecute la línea de comandos como administrador y navegue hasta la carpeta de instalación de DBeaver. Por ejemplo C:\Program Files\DBeaver\jre\bin\.
- Agregue su certificado de Athena a cacerts que se encuentra en C:\Program Files\DBeaver\jre\lib\security. Por ejemplo:
keytool.exe -importcert -trustcacerts -alias dsca -v -keystore "C:/Program Files/DBeaver/jre/lib/security/cacerts" -file "C:/athena/dsca.crt" -storepass changeit
Configurando y Ejecutando DBeaver
Dado que usamos DBeaver para poder enviar consultas a Athena a través del proxy de DataSunrise, necesita localizar el archivo dbeaver.ini en su carpeta de instalación de DBeaver y abrirlo con un editor de texto. Agregue las siguientes líneas al final del archivo:
-Djavax.net.ssl.trustStore=<jks_file_path> -Djavax.net.ssl.trustStorePassword=<jks_file_password>
Por ejemplo:
-Djavax.net.ssl.trustStore=C:/Program Files/Java/jdk-11.0.1/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit
Ejecute DBeaver con los siguientes parámetros (ejemplo):
dbeaver.exe -vm "C:\Program Files\DBeaver\jre\bin" -vmargs -Djavax.net.ssl.trustStore="C:\Program Files\DBeaver\jre\lib\security\cacerts" -Djavax.net.ssl.trustStorePassword=changeit
Conectándose a Través del Proxy con DBeaver
Configure una conexión a su Athena a través del proxy de DataSunrise. En la pestaña Propiedades del Controlador, establezca ProxyHost y ProxyPort según la configuración de su proxy de Athena.
Luego pruebe la conexión. Ahora debería poder conectarse a su Athena a través del proxy de DataSunrise.
Configuración del Enmascaramiento Dinámico
Habiendo configurado un proxy, puede crear una Regla de Enmascaramiento Dinámico para Athena. Este proceso es sencillo y aplicable a todas las bases de datos.
A continuación se muestra un ejemplo de una tabla con datos reales y direcciones de correo electrónico enmascaradas respectivamente:
Además, DataSunrise admite el enmascaramiento de datos no estructurados para Athena gracias a NLP (Procesamiento de Lenguaje Natural). El enmascaramiento no estructurado le permite enmascarar datos sensibles en cualquier forma y formato. Por ejemplo, puede ser un documento de Word o un archivo PDF. Los datos sensibles se enmascararán con asteriscos (*).
El Enmascaramiento Dinámico para Athena se basa en la modificación de conjuntos de resultados de consultas. Esto significa que una base de datos recibe una consulta original y devuelve datos originales también. El enmascaramiento se realiza cuando los datos pasan a través de un proxy de DataSunrise, y el cliente obtendrá los datos sensibles ofuscados después de eso.