Comment Configurer DataSunrise pour Masquer les Données pour Amazon Athena
Nous élargissons nos opportunités en introduisant le Masquage Dynamique pour Amazon Athena. Vous pouvez maintenant obfusquer les données sensibles d’Athena à la volée pour les protéger contre les personnes non autorisées.
Les applications clientes utilisent une connexion cryptée pour se connecter à Athena. DataSunrise peut masquer les données dans Athena uniquement en mode Proxy. Une connexion sécurisée est alors divisée en deux : d’une application cliente à DataSunrise et de DataSunrise à Athena. En même temps, il vérifie le certificat du serveur. Si ce certificat est auto-signé, certaines applications peuvent considérer la connexion comme non sécurisée et la refuser.
Par défaut, DataSunrise dispose d’un certificat SSL auto-signé utilisé pour établir une connexion cryptée entre une application cliente et un proxy DataSunrise.
Il existe deux options pour une connexion à Athena via un proxy DataSunrise :
- Utiliser le certificat auto-signé de DataSunrise ;
- Utiliser un certificat SSL correctement signé par une certaine Autorité de Certification.
Si un certificat est authentique, une connexion sera établie. Sinon, elle sera considérée par une application cliente comme une attaque de type man-in-the-middle et la connexion ne sera pas établie à moins que l’application cliente ne soit correctement configurée. Dans cet article, nous examinerons ce processus en utilisant DBeaver comme exemple.
Créer une Instance pour Amazon Athena
Tout d’abord, vous devez créer une instance pour Athena dans DataSunrise. Ceci est nécessaire pour créer un profil de base de données. Le début est le même pour chaque base de données : il suffit de saisir les détails de connexion pour votre Athena. Notez que les résultats des requêtes sont stockés dans des buckets S3, vous devez donc spécifier un bucket S3 dans le champ de localisation des résultats des requêtes.
Ensuite, dans la section Mode de Capture, vous devez sélectionner Proxy. Dans le champ Clés Proxy, sélectionnez Créer Nouveau pour générer un nouveau groupe de clés SSL et l’attacher à votre proxy.
Ensuite, cliquez sur Enregistrer.
Importer le Certificat dans le Keystore
Faites ce qui suit :
- Après avoir attaché un nouveau groupe de clés SSL à votre proxy dans DataSunrise, allez à Configuration → Groupes de Clés SSL. Localisez votre groupe de clés SSL dans la liste et ouvrez-le, copiez le certificat du champ correspondant dans un fichier texte. Par exemple, créez un fichier avec le nom dsca.crt et collez le certificat dedans. Mettez le fichier dans le dossier C:\athena.
- Exécutez la ligne de commande en tant qu’administrateur et accédez à votre dossier d’installation DBeaver. Par exemple C:\Program Files\DBeaver\jre\bin\.
- Ajoutez votre certificat Athena à cacerts qui est situé dans C:\Program Files\DBeaver\jre\lib\security. Par exemple :
keytool.exe -importcert -trustcacerts -alias dsca -v -keystore "C:/Program Files/DBeaver/jre/lib/security/cacerts" -file "C:/athena/dsca.crt" -storepass changeit
Configurer et Exécuter DBeaver
Comme nous utilisons DBeaver pour pouvoir envoyer des requêtes à Athena via le proxy DataSunrise, vous devez localiser le fichier dbeaver.ini dans votre dossier d’installation DBeaver et l’ouvrir avec un éditeur de texte. Ajoutez les lignes suivantes à la fin du fichier :
-Djavax.net.ssl.trustStore=<jks_file_path> -Djavax.net.ssl.trustStorePassword=<jks_file_password>
Par exemple :
-Djavax.net.ssl.trustStore=C:/Program Files/Java/jdk-11.0.1/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit
Exécutez DBeaver avec les paramètres suivants (exemple) :
dbeaver.exe -vm "C:\Program Files\DBeaver\jre\bin" -vmargs -Djavax.net.ssl.trustStore="C:\Program Files\DBeaver\jre\lib\security\cacerts" -Djavax.net.ssl.trustStorePassword=changeit
Connexion via le Proxy avec DBeaver
Configurez une connexion à votre Athena via le proxy DataSunrise. Dans l’onglet Propriétés du Pilote, définissez ProxyHost et ProxyPort selon les paramètres de votre proxy Athena.
Ensuite, testez la connexion. Vous devriez maintenant pouvoir vous connecter à votre Athena via le proxy DataSunrise.
Configurer le Masquage Dynamique
Après avoir configuré un proxy, vous pouvez créer une Règle de Masquage Dynamique pour Athena. Ce processus est simple et s’applique à chaque base de données.
Ci-dessous se trouve un exemple de table avec des données réelles et des adresses e-mail masquées respectivement :
En outre, DataSunrise prend en charge le masquage des données non structurées pour Athena grâce au NLP (Natural Language Processing). Le masquage non structuré vous permet de masquer des données sensibles sous n’importe quelle forme et format. Par exemple, cela peut être un document Word ou un fichier PDF. Les données sensibles seront masquées avec des astérisques (*).
Le Masquage Dynamique pour Athena est basé sur la modification des ensembles de résultats des requêtes. Cela signifie qu’une base de données reçoit une requête originale et retourne également les données originales. Le masquage s’effectue lorsque les données passent par un proxy DataSunrise, et le client recevra ensuite des données sensibles obfusquées.