AWS - EMR Enum
EMR
El servicio Elastic MapReduce (EMR) de AWS, a partir de la versión 4.8.0, introdujo una característica de configuración de seguridad que mejora la protección de datos al permitir a los usuarios especificar configuraciones de cifrado para datos en reposo y en tránsito dentro de los clústeres EMR, que son grupos escalables de instancias EC2 diseñados para procesar marcos de big data como Apache Hadoop y Spark.
Las características clave incluyen:
Cifrado predeterminado del clúster: Por defecto, los datos en reposo dentro de un clúster no están cifrados. Sin embargo, habilitar el cifrado proporciona acceso a varias características:
Linux Unified Key Setup: Cifra los volúmenes del clúster EBS. Los usuarios pueden optar por AWS Key Management Service (KMS) o un proveedor de claves personalizado.
Cifrado HDFS de código abierto: Ofrece dos opciones de cifrado para Hadoop:
Secure Hadoop RPC (Remote Procedure Call), configurado en privacidad, aprovechando el Simple Authentication Security Layer.
Cifrado de transferencia de bloques HDFS, configurado en verdadero, utiliza el algoritmo AES-256.
Cifrado en tránsito: Se enfoca en asegurar los datos durante la transferencia. Las opciones incluyen:
Open Source Transport Layer Security (TLS): El cifrado se puede habilitar eligiendo un proveedor de certificados:
PEM: Requiere la creación manual y empaquetado de certificados PEM en un archivo zip, referenciado desde un bucket S3.
Custom: Implica agregar una clase Java personalizada como proveedor de certificados que suministra artefactos de cifrado.
Una vez que un proveedor de certificados TLS se integra en la configuración de seguridad, se pueden activar las siguientes características de cifrado específicas de la aplicación, que varían según la versión de EMR:
Hadoop:
Podría reducir el shuffle cifrado usando TLS.
Secure Hadoop RPC con Simple Authentication Security Layer y HDFS Block Transfer con AES-256 se activan con cifrado en reposo.
Presto (EMR versión 5.6.0+):
La comunicación interna entre nodos de Presto se asegura usando SSL y TLS.
Tez Shuffle Handler:
Utiliza TLS para el cifrado.
Spark:
Emplea TLS para el protocolo Akka.
Usa Simple Authentication Security Layer y 3DES para Block Transfer Service.
El servicio de shuffle externo se asegura con Simple Authentication Security Layer.
Estas características en conjunto mejoran la postura de seguridad de los clústeres EMR, especialmente en lo que respecta a la protección de datos durante las fases de almacenamiento y transmisión.
Enumeración
Privesc
AWS - EMR PrivescReferencias
Last updated
