AWS - Relational Database (RDS) Enum
Informations de base
Le Relational Database Service (RDS) offert par AWS est conçu pour simplifier le déploiement, l'exploitation et la mise à l'échelle d'une base de données relationnelle dans le cloud. Ce service offre les avantages de l'efficacité des coûts et de la scalabilité tout en automatisant les tâches laborieuses comme l'approvisionnement matériel, la configuration de la base de données, les correctifs et les sauvegardes.
AWS RDS prend en charge divers moteurs de bases de données relationnelles largement utilisés, notamment MySQL, PostgreSQL, MariaDB, Oracle Database, Microsoft SQL Server et Amazon Aurora, avec une compatibilité pour MySQL et PostgreSQL.
Les principales caractéristiques de RDS incluent :
Gestion des instances de base de données simplifiée.
Création de répliques en lecture pour améliorer les performances de lecture.
Configuration de déploiements multi-Zone de Disponibilité (AZ) pour assurer une haute disponibilité et des mécanismes de basculement.
Intégration avec d'autres services AWS, tels que :
AWS Identity and Access Management (IAM) pour un contrôle d'accès robuste.
AWS CloudWatch pour une surveillance et des métriques complètes.
AWS Key Management Service (KMS) pour assurer le chiffrement au repos.
Identifiants
Lors de la création du cluster DB, le nom d'utilisateur principal peut être configuré (admin
par défaut). Pour générer le mot de passe de cet utilisateur, vous pouvez :
Indiquer un mot de passe vous-même
Demander à RDS de le générer automatiquement
Demander à RDS de le gérer dans AWS Secret Manager chiffré avec une clé KMS
Authentification
Il existe 3 types d'options d'authentification, mais l'utilisation du mot de passe principal est toujours autorisée :
Accès public & VPC
Par défaut, aucun accès public n'est accordé aux bases de données, cependant il pourrait être accordé. Par conséquent, par défaut, seules les machines du même VPC pourront y accéder si le groupe de sécurité sélectionné (stocké dans EC2 SG) le permet.
Au lieu d'exposer une instance DB, il est possible de créer un RDS Proxy qui améliore la scalabilité et la disponibilité du cluster DB.
De plus, le port de la base de données peut également être modifié.
Chiffrement
Le chiffrement est activé par défaut en utilisant une clé gérée par AWS (une CMK pourrait être choisie à la place).
En activant votre chiffrement, vous activez le chiffrement au repos pour votre stockage, vos instantanés, vos répliques en lecture et vos sauvegardes. Les clés pour gérer ce chiffrement peuvent être émises en utilisant KMS. Il n'est pas possible d'ajouter ce niveau de chiffrement après la création de votre base de données. Cela doit être fait lors de sa création.
Cependant, il existe une solution de contournement permettant de chiffrer une base de données non chiffrée comme suit. Vous pouvez créer un instantané de votre base de données non chiffrée, créer une copie chiffrée de cet instantané, utiliser cet instantané chiffré pour créer une nouvelle base de données, et enfin, votre base de données serait alors chiffrée.
Transparent Data Encryption (TDE)
En plus des capacités de chiffrement inhérentes à RDS au niveau de l'application, RDS prend également en charge des mécanismes de chiffrement supplémentaires au niveau de la plateforme pour protéger les données au repos. Cela inclut le Transparent Data Encryption (TDE) pour Oracle et SQL Server. Cependant, il est crucial de noter que bien que TDE améliore la sécurité en chiffrant les données au repos, il peut également affecter les performances de la base de données. Cet impact sur les performances est particulièrement notable lorsqu'il est utilisé en conjonction avec les fonctions cryptographiques MySQL ou les fonctions cryptographiques Microsoft Transact-SQL.
Pour utiliser TDE, certaines étapes préliminaires sont nécessaires :
Association de groupe d'options :
La base de données doit être associée à un groupe d'options. Les groupes d'options servent de conteneurs pour les paramètres et les fonctionnalités, facilitant la gestion de la base de données, y compris les améliorations de sécurité.
Cependant, il est important de noter que les groupes d'options ne sont disponibles que pour certains moteurs de base de données et versions.
Inclusion de TDE dans le groupe d'options :
Une fois associé à un groupe d'options, l'option Oracle Transparent Data Encryption doit être incluse dans ce groupe.
Il est essentiel de reconnaître qu'une fois l'option TDE ajoutée à un groupe d'options, elle devient un élément permanent et ne peut pas être supprimée.
Modes de chiffrement TDE :
TDE offre deux modes de chiffrement distincts :
Chiffrement de tablespace TDE : Ce mode chiffre des tables entières, offrant une protection des données plus large.
Chiffrement de colonne TDE : Ce mode se concentre sur le chiffrement d'éléments spécifiques et individuels au sein de la base de données, permettant un contrôle plus granulaire sur les données chiffrées.
Comprendre ces prérequis et les subtilités opérationnelles de TDE est crucial pour mettre en œuvre et gérer efficacement le chiffrement au sein de RDS, assurant à la fois la sécurité des données et la conformité aux normes nécessaires.
Énumération
Accès non authentifié
AWS - RDS Unauthenticated EnumPrivesc
AWS - RDS PrivescPost Exploitation
AWS - RDS Post ExploitationPersistance
AWS - RDS PersistenceInjection SQL
Il existe des moyens d'accéder aux données de DynamoDB avec la syntaxe SQL, par conséquent, les injections SQL typiques sont également possibles.
Last updated