دليل أمان BYOC

تُشغّل ClickHouse نموذج Bring Your Own Cloud (BYOC) وفق نموذج المسؤولية الأمنية المشتركة، ويمكن تنزيل هذا النموذج من Trust Center على https://trust.clickhouse.com. وتُقدَّم المعلومات التالية لعملاء BYOC كأمثلة على كيفية تحديد الأحداث الأمنية المحتملة. وينبغي للعملاء النظر في هذه المعلومات ضمن سياق برنامجهم الأمني لتحديد ما إذا كانت هناك وسائل كشف وتنبيهات إضافية قد تكون مفيدة.

بيانات اعتماد ClickHouse التي يُحتمل اختراقها

ارجع إلى وثائق سجل تدقيق قاعدة البيانات للاطلاع على الاستعلامات اللازمة لاكتشاف الهجمات المعتمدة على بيانات الاعتماد، والاستعلامات المستخدمة للتحقيق في الأنشطة الضارة.

هجوم حجب الخدمة على طبقة التطبيق

توجد عدة طرق لتنفيذ هجوم حجب الخدمة (DoS). إذا كان الهجوم يستهدف التسبب في تعطّل مثيل ClickHouse باستخدام payload معيّنة، فأعِد النظام إلى حالة التشغيل، أو أعد تشغيل النظام وقيّد الوصول لاستعادة التحكم. استخدم الاستعلام التالي لمراجعة system.crash_log والحصول على مزيد من المعلومات حول الهجوم.

SELECT * 
FROM clusterAllReplicas('default',system.crash_log)

أدوار AWS التي أنشأها ClickHouse وتعرّضت للاختراق

يستخدم ClickHouse أدوارًا مُنشأة مسبقًا لتمكين وظائف النظام. يفترض هذا القسم أن العميل يستخدم AWS مع CloudTrail ولديه إمكانية الوصول إلى سجلات CloudTrail. إذا كان الحادث قد يكون ناتجًا عن دور تعرّض للاختراق، فراجِع الأنشطة في CloudTrail وCloudWatch المرتبطة بأدوار IAM والإجراءات الخاصة بـ ClickHouse. ارجع إلى مكدس CloudFormation أو وحدة Terraform المقدَّمة كجزء من الإعداد للحصول على قائمة بأدوار IAM.

الوصول غير المصرّح به إلى عنقود EKS

يعمل ClickHouse BYOC داخل EKS. يفترض هذا القسم أن العميل يستخدم CloudTrail وCloudWatch في AWS ولديه إمكانية الوصول إلى السجلات. إذا كان الحادث قد يكون ناتجًا عن تعرّض عنقود EKS للاختراق، فاستخدم الاستعلامات أدناه ضمن سجلات EKS في CloudWatch لتحديد تهديدات محددة. اعرض عدد استدعاءات واجهة برمجة تطبيقات Kubernetes حسب اسم المستخدم

fields user.username
| stats count(*) as count by user.username

تحقّق مما إذا كان المستخدم مهندسًا لدى ClickHouse

fields @timestamp,user.extra.sessionName.0, requestURI, verb,userAgent, @message, @logStream, @log
| sort @timestamp desc
| filter user.username like /clickhouse.com/
| limit 10000

راجع المستخدمين الذين يصلون إلى أسرار Kubernetes، واستبعد أدوار الخدمة

fields @timestamp,user.extra.sessionName.0, requestURI, verb,userAgent, @message, @logStream, @log
| sort @timestamp desc
| filter requestURI like /secret/
| filter verb="get"
| filter ispresent(user.extra.sessionName.0)
| filter user.username not like /ClickHouseManagementRole/
| filter user.username not like /data-plane-mgmt/

ClickHouse Cloud

استخدم سحابتك الخاصة

بيانات اعتماد ClickHouse التي يُحتمل اختراقها

هجوم حجب الخدمة على طبقة التطبيق

أدوار AWS التي أنشأها ClickHouse وتعرّضت للاختراق

الوصول غير المصرّح به إلى عنقود EKS

​بيانات اعتماد ClickHouse التي يُحتمل اختراقها

​هجوم حجب الخدمة على طبقة التطبيق

​أدوار AWS التي أنشأها ClickHouse وتعرّضت للاختراق

​الوصول غير المصرّح به إلى عنقود EKS

بيانات اعتماد ClickHouse التي يُحتمل اختراقها

هجوم حجب الخدمة على طبقة التطبيق

أدوار AWS التي أنشأها ClickHouse وتعرّضت للاختراق

الوصول غير المصرّح به إلى عنقود EKS