Cifrado de datos con Couchbase Server
Con más y más datos almacenados en Couchbase, la seguridad de big data se ha convertido en un tema candente en estos días. Las organizaciones de todos los sectores verticales y públicos se enfrentan cada vez más al reto de proteger sus activos de datos sensibles, o a graves sanciones si no lo hacen. En un reciente informe sobre amenazas internas publicado por Vormetric, 93% de las organizaciones estadounidenses afirman ser vulnerables a las amenazas internas. Cifrado de datos es una forma efectiva de prevenir el acceso a datos sensibles y se ha convertido en un importante control de seguridad en muchos estándares regulatorios, incluyendo ataques internos de seguridad. Este blog repasará los múltiples niveles en los que puedes proteger tus datos sensibles para tu aplicación Couchbase.
Cifrado de datos en la aplicación
Incluso antes de que los datos lleguen al cable y sean enviados al servidor, puedes encriptarlos dentro de tu aplicación. El modelo de datos de Couchbase te permite almacenar tanto documentos JSON como datos binarios (por ejemplo un blob encriptado). En muchos sentidos, tu aplicación es el mejor lugar para encriptar datos porque sabe exactamente si la información es sensible o no y puede aplicar protección selectivamente. Para que tu aplicación cifre los datos, necesitarás una clave de cifrado y esta clave debe mantenerse en secreto, ya sea mediante un llavero seguro o en un módulo de seguridad de hardware (HSM). Nunca es una buena idea implementar tu propio algoritmo de encriptación y si quieres encriptar datos en tu app, deberías usar una librería de encriptación estándar. Por ejemplo, Vormetric proporciona bibliotecas de cifrado de aplicaciones que pueden utilizarse sin la complejidad y el riesgo de implantar una solución interna de cifrado y gestión de claves.
No olvide consultar también el ejemplo python código para encriptar datos a nivel de campo en Couchbase.
Cifrado de datos en movimiento
Cuando los datos se mueven entre el cliente y el servidor
Por eso, cuando los datos están en la red, hay que protegerlos de un atacante que espíe la conexión. SDK de Couchbase 2.0 y superiores con Couchbase Server 3.0 habilitan el acceso encriptado de datos usando SSL para comunicaciones cliente-servidor. Sin SSL (como se muestra en la imagen de abajo), un simple sondeo wireshark de la conexión entre el cliente y el servidor puede revelar bastante información sensible.
Con SSL activado, los datos hacia y desde el servidor se cifran utilizando el certificado del servidor que se configura y almacena en el almacén de certificados del cliente. Es una buena práctica de seguridad, regenerar el certificado SSL periódicamente según los requisitos de seguridad de su organización.
Además del acceso encriptado a los datos, Couchbase 3.0 también incluye soporte para acceso seguro al administrador. Esto permite a los administradores navegar de forma segura y administrar Couchbase Server a través del navegador, incluso a través de una red pública. ¿Cómo se ve una conexión encriptada bajo wireshark? Echa un vistazo a la captura de pantalla de wireshark a continuación -
Cuando los datos se mueven entre servidores dentro de un clúster
Tus datos deben estar disponibles para tus aplicaciones 24x7x365. Esto significa que si un servidor muere en el clúster, tu aplicación debería poder seguir accediendo a tus datos. Para una alta disponibilidad, Couchbase replica los datos dentro del cluster y a través de los centros de datos - dentro de un cluster, cada documento almacenado en Couchbase puede ser replicado hasta 3 veces. Si todos tus datos sensibles ya están encriptados en los documentos, las copias de réplica se transmitirán tal cual y se almacenarán (es decir, encriptadas). Para mayor seguridad, es una buena práctica utilizar IPSec en la red entre los nodos del servidor Couchbase.
Cuando los datos se mueven entre centros de datos
Si tienes centros de datos en diferentes geografías, y te preocupa que los datos sensibles fluyan entre ellos, puedes utilizar la función XDCR segura (Replicación entre centros de datos) de Couchbase. Secure XDCR te permite encriptar el tráfico entre dos centros de datos usando una conexión SSL. Cuando usas la Replicación Segura entre Centros de Datos (XDCR), todo el tráfico en los centros de datos de origen y destino será encriptado. Esto provocará un ligero aumento de la carga de la CPU, ya que cualquier cifrado necesita ciclos de CPU adicionales. Es una buena práctica de seguridad rotar periódicamente los certificados XDCR según las políticas de seguridad de su organización.
Cifrado de datos en disco
Vormetric ofrece una solución de cifrado potente, transparente y basada en políticas para Couchbase Server. Con Vormetric, los datos sensibles en Couchbase se cifrarán en reposo en el disco. Esto asegura que sus datos no se verán comprometidos si su base de datos es robada, copiada, perdida o se accede a ella de forma indebida.
La solución implica agentes Vormetric instalados en la capa de almacenamiento, que cifran los datos de forma transparente. Los agentes hablan con un gestor de seguridad de datos distribuido que podría ser un dispositivo físico / virtual y es responsable de almacenar de forma segura las claves de cifrado. Couchbase lee y escribe información sensible en la capa de almacenamiento sin ningún cambio en la aplicación o en la base de datos.
Para obtener más información sobre el funcionamiento conjunto de Vormetric y Couchbase, no olvide registrarse en nuestro próximo seminario web en directo.
