Comment configurer DataSunrise pour masquer les données d’Amazon Athena
Nous élargissons nos opportunités en introduisant le masquage dynamique pour Amazon Athena. Désormais, vous pouvez obfuscater les données sensibles d’Athena à la volée pour les protéger contre les personnes non autorisées.
Les applications clientes utilisent une connexion cryptée pour se connecter à Athena. DataSunrise peut masquer les données dans Athena uniquement en mode Proxy. Une connexion sécurisée est alors divisée en deux : de l’application cliente à DataSunrise et de DataSunrise à Athena. En même temps, il vérifie le certificat du serveur. Si ce certificat est auto-signé, certaines applications peuvent considérer la connexion comme non sécurisée et la rejeter.
Par défaut, DataSunrise dispose d’un certificat SSL auto-signé utilisé pour établir une connexion cryptée entre une application cliente et un proxy DataSunrise.
Il y a deux options pour une connexion à Athena via un proxy DataSunrise :
- Utiliser le certificat auto-signé de DataSunrise ;
- Utiliser un certificat SSL correctement signé par une autorité de certification.
Si un certificat est authentique, une connexion sera établie. Sinon, elle sera considérée par une application cliente comme une attaque de type « man-in-the-middle » et la connexion ne sera pas établie à moins que l’application cliente ne soit correctement configurée. Dans cet article, nous examinerons ce processus en utilisant DBeaver comme exemple.
Création d’une instance pour Amazon Athena
Tout d’abord, vous devez créer une instance pour Athena dans DataSunrise. Cela est nécessaire pour créer un profil de base de données. Le début est le même pour chaque base de données : il suffit de saisir les détails de connexion pour votre Athena. Notez que les résultats de requête sont stockés dans des buckets S3, vous devez donc spécifier un bucket S3 dans le champ Emplacement des résultats de la requête.
Ensuite, dans la section Mode de capture, vous devez sélectionner Proxy. Dans le champ Clés du proxy, sélectionnez Créer une nouvelle pour générer un nouveau groupe de clés SSL et l’attacher à votre proxy.
Après cela, cliquez sur Enregistrer.
Importer le certificat dans le keystore
Faites ce qui suit :
- Après avoir attaché un nouveau groupe de clés SSL à votre proxy dans DataSunrise, accédez à Configuration → Groupes de clés SSL. Trouvez votre groupe de clés SSL dans la liste et ouvrez-le, copiez le certificat depuis le champ correspondant dans un fichier texte. Par exemple, créez un fichier nommé dsca.crt et collez-y le certificat. Placez le fichier dans le dossier C:\athena.
- Exécutez la ligne de commande en tant qu’administrateur et naviguez jusqu’au dossier d’installation de DBeaver. Par exemple C:\Program Files\DBeaver\jre\bin\.
- Ajoutez votre certificat Athena aux cacerts qui se trouve dans C:\Program Files\DBeaver\jre\lib\security. Par exemple :
keytool.exe -importcert -trustcacerts -alias dsca -v -keystore "C:/Program Files/DBeaver/jre/lib/security/cacerts" -file "C:/athena/dsca.crt" -storepass changeit
Configurer et exécuter DBeaver
Comme nous utilisons DBeaver pour pouvoir envoyer des requêtes à Athena via le proxy DataSunrise, vous devez localiser le fichier dbeaver.ini dans votre dossier d’installation de DBeaver et l’ouvrir avec un éditeur de texte. Ajoutez les lignes suivantes à la fin du fichier :
-Djavax.net.ssl.trustStore=<chemin_du_fichier_jks> -Djavax.net.ssl.trustStorePassword=<mot_de_passe_du_fichier_jks>
Par exemple :
-Djavax.net.ssl.trustStore=C:/Program Files/Java/jdk-11.0.1/lib/security/cacerts -Djavax.net.ssl.trustStorePassword=changeit
Exécutez DBeaver avec les paramètres suivants (exemple) :
dbeaver.exe -vm "C:\Program Files\DBeaver\jre\bin" -vmargs -Djavax.net.ssl.trustStore="C:\Program Files\DBeaver\jre\lib\security\cacerts" -Djavax.net.ssl.trustStorePassword=changeit
Connexion via le proxy avec DBeaver
Configurez une connexion à votre Athena via le proxy DataSunrise. Dans l’onglet Propriétés du pilote, définissez ProxyHost et ProxyPort selon les paramètres de votre proxy Athena.
Ensuite, testez la connexion. Vous devriez maintenant pouvoir vous connecter à votre Athena via le proxy DataSunrise.
Configurer le masquage dynamique
Après avoir configuré un proxy, vous pouvez créer une règle de masquage dynamique pour Athena. Ce processus est simple et applicable à chaque base de données.
Ci-dessous un exemple de table avec des données réelles et des adresses e-mail masquées respectivement :
En outre, DataSunrise prend en charge le masquage de données non structurées pour Athena grâce au NLP (Traitement Automatique du Langage Naturel). Le masquage non structuré vous permet de masquer des données sensibles sous n’importe quelle forme et format. Par exemple, il peut s’agir d’un document Word ou d’un fichier PDF. Les données sensibles seront masquées par des astérisques (*).
Le masquage dynamique pour Athena est basé sur la modification des ensembles de résultats de requête. Cela signifie qu’une base de données reçoit une requête originale et renvoie également des données originales. Le masquage s’effectue lorsque les données passent par un proxy DataSunrise, et le client recevra alors des données sensibles obfusquées.