AWS - Redshift Enum
Last updated
Last updated
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Redshift is 'n volledig bestuurde diens wat kan skaal tot meer as 'n petabyte in grootte, wat gebruik word as 'n data warehouse vir groot data oplossings. Met Redshift-klusters kan jy analise teen jou datastelle uitvoer met behulp van vinnige, SQL-gebaseerde vrae gereedskap en besigheidsintelligensie toepassings om 'n groter begrip van jou besigheid se visie te verkry.
Redshift bied versleuteling in rus met 'n vier-laag hiërargie van versleuteling sleutels wat KMS of CloudHSM gebruik om die boonste laag van sleutels te bestuur. Wanneer versleuteling geaktiveer is vir jou kluster, kan dit nie gedeaktiveer word nie en omgekeerd. Wanneer jy 'n nie-versleutelde kluster het, kan dit nie versleuteld word nie.
Versleuteling vir jou kluster kan slegs tydens die skepping daarvan plaasvind, en sodra dit versleuteld is, is die data, metadata, en enige snappshots ook versleuteld. Die lae vlak van versleuteling sleutels is soos volg, laag een is die meester sleutel, laag twee is die kluster versleuteling sleutel, die CEK, laag drie, die databasis versleuteling sleutel, die DEK, en uiteindelik laag vier, die data versleuteling sleutels self.
Tydens die skepping van jou kluster, kan jy of die standaard KMS sleutel vir Redshift kies of jou eie CMK kies, wat jou meer buigsaamheid gee oor die beheer van die sleutel, spesifiek vanuit 'n auditeerbare perspektief.
Die standaard KMS sleutel vir Redshift word outomaties deur Redshift geskep die eerste keer dat die sleutel opsie gekies en gebruik word, en dit word volledig bestuur deur AWS.
Hierdie KMS sleutel word dan versleuteld met die CMK meester sleutel, laag een. Hierdie versleutelde KMS data sleutel word dan gebruik as die kluster versleuteling sleutel, die CEK, laag twee. Hierdie CEK word dan deur KMS na Redshift gestuur waar dit apart van die kluster gestoor word. Redshift stuur dan hierdie versleutelde CEK na die kluster oor 'n veilige kanaal waar dit in geheue gestoor word.
Redshift vra dan KMS om die CEK, laag twee, te ontsleutel. Hierdie ontsleutelde CEK word dan ook in geheue gestoor. Redshift skep dan 'n ewekansige databasis versleuteling sleutel, die DEK, laag drie, en laai dit in die geheue van die kluster. Die ontsleutelde CEK in geheue versleutelt dan die DEK, wat ook in geheue gestoor word.
Hierdie versleutelde DEK word dan oor 'n veilige kanaal gestuur en apart in Redshift gestoor van die kluster. Beide die CEK en die DEK is nou in die geheue van die kluster gestoor, beide in 'n versleutelde en ontsleutelde vorm. Die ontsleutelde DEK word dan gebruik om data sleutels, laag vier, te versleutel wat ewekansig deur Redshift gegenereer word vir elke datablock in die databasis.
Jy kan AWS Trusted Advisor gebruik om die konfigurasie van jou Amazon S3 emmers te monitor en te verseker dat emmer logging geaktiveer is, wat nuttig kan wees vir die uitvoering van sekuriteitsoudit en die opsporing van gebruikspatrone in S3.
Die volgende aksies maak dit moontlik om toegang tot ander AWS-rekeninge tot die kluster te verleen:
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
