Cómo Configurar DataSunrise para Enmascarar Datos en Amazon Athena
Ampliamos nuestras oportunidades al introducir el Enmascaramiento Dinámico para Amazon Athena. Ahora puedes ofuscar datos sensibles de Athena sobre la marcha para protegerlos de personas no autorizadas.
Las aplicaciones cliente usan una conexión encriptada para conectarse a Athena. DataSunrise puede enmascarar datos en Athena solo en el modo Proxy. Una conexión segura se divide en dos: de una aplicación cliente a DataSunrise y de DataSunrise a Athena. Al mismo tiempo, verifica el certificado del servidor. Si este certificado está autofirmado, algunas aplicaciones pueden considerar la conexión insegura y rechazarla.
DataSunrise tiene por defecto un certificado SSL autofirmado utilizado para establecer una conexión encriptada entre una aplicación cliente y un proxy de DataSunrise.
Hay dos opciones para una conexión a Athena a través de un proxy de DataSunrise:
- Usar el certificado autofirmado de DataSunrise;
- Usar un certificado SSL adecuadamente firmado por una Autoridad de Certificación específica.
Si un certificado es auténtico, se establecerá una conexión. De lo contrario, será considerado por una aplicación cliente como un ataque de intermediario y la conexión no se establecerá a menos que la aplicación cliente esté debidamente configurada. En este artículo, revisaremos este proceso utilizando DBeaver como ejemplo.
Crear una Instancia para Amazon Athena
Primero, necesitas crear una Instancia para Athena en DataSunrise. Esto es necesario para crear un perfil de base de datos. El comienzo es el mismo para cada base de datos: simplemente ingresa los detalles de conexión para tu Athena. Ten en cuenta que los resultados de las consultas se almacenan en buckets de S3, por lo que debes especificar un bucket de S3 en el campo de Ubicación del Resultado de la Consulta.
A continuación, en la sección de Modo de Captura, necesitas seleccionar Proxy. En el campo de Llaves de Proxy selecciona Crear Nuevo para generar un nuevo Grupo de Llaves SSL y adjuntarlo a tu proxy.
Después de eso, haz clic en Guardar.
Importar el Certificado en el Almacén de Llaves
Haz lo siguiente:
- Después de adjuntar un nuevo Grupo de Llaves SSL a tu proxy en DataSunrise, navega a Configuración → Grupos de Llaves SSL. Ubica tu Grupo de Llaves SSL en la lista y ábrelo, copia el Certificado del campo correspondiente en un archivo de texto. Por ejemplo, crea un archivo con el nombre dsca.crt y pega el certificado allí. Coloca el archivo en la carpeta C:\athena.
- Ejecuta la línea de comando como administrador y navega a tu carpeta de instalación de DBeaver. Por ejemplo C:\Program Files\DBeaver\jre\bin\.
- Agrega tu certificado de Athena a cacerts, que se encuentra en C:\Program Files\DBeaver\jre\lib\security. Por ejemplo:
keytool.exe -importcert -trustcacerts -alias dsca -v -keystore "C:/Program Files/DBeaver/jre/lib/security/cacerts" -file "C:/athena/dsca.crt" -storepass changeit
Configurar y Ejecutar DBeaver
Dado que usamos DBeaver para poder enviar consultas a Athena a través del proxy de DataSunrise, necesitas ubicar el archivo dbeaver.ini en tu carpeta de instalación de DBeaver y abrirlo con un editor de texto. Agrega las siguientes líneas al final del archivo:
-Djavax.net.ssl.trustStore=<ruta_del_archivo_jks> -Djavax.net.ssl.trustStorePassword=<contraseña_del_archivo_jks>
Por ejemplo:
-Djavax.net.ssl.trustStore=C:/Program Files/Java/jdk-11.0.1/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit
Ejecuta DBeaver con los siguientes parámetros (ejemplo):
dbeaver.exe -vm "C:\Program Files\DBeaver\jre\bin" -vmargs -Djavax.net.ssl.trustStore="C:\Program Files\DBeaver\jre\lib\security\cacerts" -Djavax.net.ssl.trustStorePassword=changeit
Conectarse a través del Proxy con DBeaver
Configura una conexión a tu Athena a través del proxy de DataSunrise. En la pestaña Propiedades del Controlador, establece ProxyHost y ProxyPort de acuerdo con la configuración de tu proxy de Athena.
Luego, prueba la conexión. Ahora deberías poder conectarte a tu Athena a través del proxy de DataSunrise.
Configurar Enmascaramiento Dinámico
Habiendo configurado un proxy, puedes crear una Regla de Enmascaramiento Dinámico para Athena. Este proceso es fácil y aplicable a cualquier base de datos.
A continuación hay un ejemplo de una tabla con datos reales y direcciones de correo electrónico enmascaradas respectivamente:
Además, DataSunrise soporta el enmascaramiento de datos no estructurados para Athena gracias a NLP (Procesamiento de Lenguaje Natural). El enmascaramiento de datos no estructurados te permite enmascarar datos sensibles en cualquier forma y formato. Por ejemplo, puede ser un documento de Word o un archivo PDF. Los datos sensibles serán enmascarados con asteriscos (*).
El Enmascaramiento Dinámico para Athena se basa en la modificación de los conjuntos de resultados de las consultas. Esto significa que una base de datos recibe una consulta original y devuelve datos originales también. El enmascaramiento se realiza cuando los datos pasan a través de un proxy de DataSunrise, y el cliente obtendrá datos sensibles ofuscados después de eso.