AWS - Redshift Enum
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Το Redshift είναι μια πλήρως διαχειριζόμενη υπηρεσία που μπορεί να κλιμακωθεί σε μέγεθος άνω του ενός petabyte, η οποία χρησιμοποιείται ως αποθήκη δεδομένων για λύσεις big data. Χρησιμοποιώντας τα clusters Redshift, μπορείτε να εκτελείτε αναλύσεις στα σύνολα δεδομένων σας χρησιμοποιώντας γρήγορα, εργαλεία ερωτήσεων SQL και εφαρμογές επιχειρηματικής ευφυΐας για να αποκτήσετε μεγαλύτερη κατανόηση της ορατότητας για την επιχείρησή σας.
Το Redshift προσφέρει κρυπτογράφηση σε κατάσταση ηρεμίας χρησιμοποιώντας μια ιεραρχία τεσσάρων επιπέδων κλειδιών κρυπτογράφησης χρησιμοποιώντας είτε KMS είτε CloudHSM για τη διαχείριση του ανώτερου επιπέδου κλειδιών. Όταν η κρυπτογράφηση είναι ενεργοποιημένη για το cluster σας, δεν μπορεί να απενεργοποιηθεί και το αντίστροφο. Όταν έχετε ένα μη κρυπτογραφημένο cluster, δεν μπορεί να κρυπτογραφηθεί.
Η κρυπτογράφηση για το cluster σας μπορεί να συμβεί μόνο κατά τη δημιουργία του, και μόλις κρυπτογραφηθεί, τα δεδομένα, τα μεταδεδομένα και οποιαδήποτε στιγμιότυπα είναι επίσης κρυπτογραφημένα. Τα επίπεδα κλειδιών κρυπτογράφησης είναι τα εξής, το πρώτο επίπεδο είναι το κύριο κλειδί, το δεύτερο επίπεδο είναι το κλειδί κρυπτογράφησης του cluster, το CEK, το τρίτο επίπεδο, το κλειδί κρυπτογράφησης της βάσης δεδομένων, το DEK, και τέλος το τέταρτο επίπεδο, τα ίδια τα κλειδιά κρυπτογράφησης δεδομένων.
Κατά τη δημιουργία του cluster σας, μπορείτε είτε να επιλέξετε το προεπιλεγμένο κλειδί KMS για το Redshift είτε να επιλέξετε το δικό σας CMK, το οποίο σας δίνει περισσότερη ευελιξία στον έλεγχο του κλειδιού, ειδικά από μια οπτική ελέγχου.
Το προεπιλεγμένο κλειδί KMS για το Redshift δημιουργείται αυτόματα από το Redshift την πρώτη φορά που επιλέγεται και χρησιμοποιείται η επιλογή κλειδιού, και διαχειρίζεται πλήρως από την AWS.
Αυτό το κλειδί KMS κρυπτογραφείται στη συνέχεια με το κύριο κλειδί CMK, πρώτο επίπεδο. Αυτό το κρυπτογραφημένο κλειδί δεδομένων KMS χρησιμοποιείται στη συνέχεια ως το κλειδί κρυπτογράφησης του cluster, το CEK, δεύτερο επίπεδο. Αυτό το CEK αποστέλλεται στη συνέχεια από το KMS στο Redshift όπου αποθηκεύεται ξεχωριστά από το cluster. Το Redshift στέλνει στη συνέχεια αυτό το κρυπτογραφημένο CEK στο cluster μέσω ενός ασφαλούς καναλιού όπου αποθηκεύεται στη μνήμη.
Το Redshift ζητά στη συνέχεια από το KMS να αποκρυπτογραφήσει το CEK, δεύτερο επίπεδο. Αυτό το αποκρυπτογραφημένο CEK αποθηκεύεται επίσης στη μνήμη. Το Redshift δημιουργεί στη συνέχεια ένα τυχαίο κλειδί κρυπτογράφησης βάσης δεδομένων, το DEK, τρίτο επίπεδο, και το φορτώνει στη μνήμη του cluster. Το αποκρυπτογραφημένο CEK στη μνήμη κρυπτογραφεί το DEK, το οποίο επίσης αποθηκεύεται στη μνήμη.
Αυτό το κρυπτογραφημένο DEK αποστέλλεται στη συνέχεια μέσω ενός ασφαλούς καναλιού και αποθηκεύεται στο Redshift ξεχωριστά από το cluster. Και τα CEK και DEK είναι τώρα αποθηκευμένα στη μνήμη του cluster τόσο σε κρυπτογραφημένη όσο και σε αποκρυπτογραφημένη μορφή. Το αποκρυπτογραφημένο DEK χρησιμοποιείται στη συνέχεια για να κρυπτογραφήσει τα κλειδιά δεδομένων, τέταρτο επίπεδο, που δημιουργούνται τυχαία από το Redshift για κάθε μπλοκ δεδομένων στη βάση δεδομένων.
Μπορείτε να χρησιμοποιήσετε το AWS Trusted Advisor για να παρακολουθείτε τη διαμόρφωση των κάδων Amazon S3 σας και να διασφαλίσετε ότι η καταγραφή κάδου είναι ενεργοποιημένη, κάτι που μπορεί να είναι χρήσιμο για την εκτέλεση ελέγχων ασφαλείας και την παρακολούθηση προτύπων χρήσης στο S3.
Οι παρακάτω ενέργειες επιτρέπουν την παροχή πρόσβασης σε άλλους λογαριασμούς AWS στο cluster:
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
