Criptografia de dados com o Couchbase Server
Com cada vez mais dados sendo armazenados no Couchbase, a segurança de Big Data se tornou um tópico importante nos dias de hoje. Organizações de todos os setores verticais e públicos são cada vez mais desafiadas a proteger seus ativos de dados confidenciais ou a enfrentar penalidades severas se não o fizerem. Em um relatório recente sobre ameaças internas publicado pela Vormetric, 93% das organizações norte-americanas afirmam estar vulneráveis a ameaças internas. Criptografia de dados é uma maneira eficaz de impedir o acesso a dados confidenciais e se tornou um importante controle de segurança em muitos padrões regulatórios, incluindo ataques à segurança interna. Este blog abordará os vários níveis em que você pode proteger os dados confidenciais do seu aplicativo Couchbase.
Criptografia de dados no aplicativo
Mesmo antes de os dados chegarem à rede e serem enviados ao servidor, você pode criptografá-los dentro do seu aplicativo. O modelo de dados do Couchbase permite que você armazene documentos JSON e dados binários (por exemplo, um blob criptografado). De muitas maneiras, seu aplicativo é o melhor lugar para criptografar dados porque ele sabe exatamente se as informações são confidenciais ou não e pode aplicar a proteção seletivamente. Para que seu aplicativo criptografe dados, você precisará de uma chave de criptografia e essa chave deve ser mantida em segredo usando um chaveiro seguro ou em um módulo de segurança de hardware (HSM). Nunca é uma boa ideia implementar seu próprio algoritmo de criptografia e, se quiser criptografar dados em seu aplicativo, use uma biblioteca de criptografia padrão. Por exemplo, a Vormetric fornece bibliotecas de criptografia de aplicativos que podem ser usados sem a complexidade e o risco de implementar uma solução interna de criptografia e gerenciamento de chaves.
Não se esqueça de conferir também o exemplo de python código para criptografar dados no nível do campo no Couchbase.
Criptografia de dados em movimento
Quando os dados estão se movendo entre o cliente e o servidor
Portanto, quando seus dados estão na rede, eles precisam ser protegidos contra um invasor man-in-the-middle que esteja espionando a conexão. SDKs do Couchbase 2.0 e superiores com o Couchbase Server 3.0 habilitam o acesso a dados criptografados usando SSL para comunicações cliente-servidor. Sem o SSL (como mostrado na imagem abaixo), uma simples sondagem do wireshark da conexão entre o cliente e o servidor pode revelar muitas informações confidenciais.
Com o SSL ativado, os dados de e para o servidor são criptografados usando o certificado do servidor que está configurado e armazenado no repositório de certificados do cliente. É uma boa prática recomendada de segurança regenerar o certificado SSL periodicamente, de acordo com os requisitos de segurança de sua organização.
Além do acesso a dados criptografados, o Couchbase 3.0 também inclui suporte para acesso seguro de administrador. Isso permite que os administradores naveguem e administrem com segurança o Couchbase Server por meio do navegador, mesmo em uma rede pública. Então, qual é a aparência de uma conexão criptografada no wireshark? Dê uma olhada na captura de tela do wireshark abaixo.
Quando os dados são movidos entre servidores em um cluster
Seus dados precisam estar disponíveis para seus aplicativos 24x7x365. Isso significa que, se um servidor morrer no cluster, seu aplicativo ainda poderá acessar seus dados. Para alta disponibilidade, o Couchbase replica os dados dentro do cluster e entre os datacenters - dentro de um cluster, cada documento armazenado no Couchbase pode ser replicado até 3 vezes. Se todos os seus dados confidenciais já estiverem criptografados nos documentos, as cópias de réplica serão transmitidas como estão e armazenadas (ou seja, criptografadas). Para aumentar a segurança, é uma boa prática usar IPSec na rede entre os nós do servidor Couchbase.
Quando os dados estão se movendo entre datacenters
Se você tiver data centers em diferentes regiões geográficas e estiver preocupado com o fluxo de dados confidenciais entre eles, poderá usar o recurso XDCR (Cross Datacenter Replication) seguro no Couchbase. O XDCR seguro permite criptografar o tráfego entre dois data centers usando uma conexão SSL. Quando você usa o XDCR (Secure Cross Datacenter Replication), todo o tráfego nos data centers de origem e destino será criptografado. Isso causará um pequeno aumento na carga da CPU, pois qualquer criptografia precisa de ciclos adicionais de CPU. É uma boa prática de segurança alternar periodicamente os certificados XDCR de acordo com as políticas de segurança de sua organização.
Criptografia de dados no disco
A Vormetric oferece uma solução de criptografia transparente, avançada e orientada por políticas para o Couchbase Server. Com a Vormetric, os dados confidenciais no Couchbase serão criptografados em repouso no disco. Isso garante que seus dados não serão comprometidos se o banco de dados for roubado, copiado, perdido ou acessado de forma inadequada.
A solução envolve agentes da Vormetric instalados na camada de armazenamento, que criptografam os dados de forma transparente. Os agentes conversam com um gerenciador de segurança de dados distribuído que pode ser um dispositivo físico/virtual e é responsável pelo armazenamento seguro das chaves de criptografia. O Couchbase lê e grava informações confidenciais na camada de armazenamento sem nenhuma alteração no aplicativo ou no banco de dados.
Para saber mais sobre como a Vormetric e o Couchbase trabalham juntos, não se esqueça de se registrar em nosso próximo webinar ao vivo.
