Deepseek-ClickHouse数据库的安全策略

简介

ClickHouse是一个高性能的列式数据库管理系统，旨在处理大量数据的实时分析和查询。它的设计目标是提供快速、高效的查询性能，同时保证数据的安全性和可靠性。近期，DeepSeek的ClickHouse数据库因未经身份验证的访问漏洞，意外暴露了超过100万行的敏感数据。

创建用户：

CREATE USER username IDENTIFIED WITH plaintext_password BY 'password'; //创建一个用户名为 username 的用户，并设置密码。
授予权限：

GRANT SELECT, INSERT ON database.* TO username; //为用户 username 授予对 database 数据库下所有表的 SELECT 和 INSERT 权限。
撤销权限：

REVOKE SELECT, INSERT ON database.* FROM username; //撤销用户 username 对 database 数据库下所有表的 SELECT 和 INSERT 权限。
删除用户：

DROP USER username;

启用 TLS/SSL ：在 clickhouse-server 配置文件 config.xml 中启用 TLS（SSL）加密：

<tcp_port_secure>9440</tcp_port_secure>
<https_port>8443</https_port>
<secure_connection_timeout>60</secure_connection_timeout>
<listen_host>::</listen_host>
<ssl_certificate>/path/to/certificate.crt</ssl_certificate>
<ssl_private_key>/path/to/private.key</ssl_private_key>
<ssl_ca_certificate>/path/to/ca.crt</ssl_ca_certificate>
启用数据加密（加密磁盘数据）：数据加密通常通过操作系统或存储层级（如 LUKS 或 BitLocker）来实现。ClickHouse 本身不提供直接加密数据存储的功能，但可以配合系统级加密技术来加密数据目录。

开启查询日志 ：在 config.xml 中配置查询日志：

<query_log>
1
/var/log/clickhouse-server/query.log
</query_log>
开启操作日志 ：在 config.xml 中配置操作日志：

<operation_log>
1
/var/log/clickhouse-server/operation.log
</operation_log>

限制查询执行时间：你可以限制查询的最大执行时间：

SET max_execution_time = 60; -- 限制查询执行时间不超过60秒
限制查询内存使用：限制每个查询的最大内存使用：

SET max_memory_usage = 10000000000; -- 限制最大内存使用为 10GB
限制查询返回行数：限制查询最多返回的行数：

SET max_result_rows = 10000; -- 限制每个查询最多返回 10000 行

限制 IP 地址访问 ：在 config.xml 中配置允许访问的 IP 地址范围：

<listen_host>127.0.0.1</listen_host> -- 仅允许本地连接
配置用户访问限制：如果只想允许特定 IP 地址的用户访问数据库，可以在用户配置时限制该用户的 IP 地址：

CREATE USER username IDENTIFIED WITH plaintext_password BY 'password' HOST '192.168.1.%';

或者完全禁用 HTTP 接口：

复制代码

<http_secure_port>0</http_secure_port>

禁用默认数据库 ：可以配置 ClickHouse 禁用默认数据库（如 default）的访问权限：

REVOKE ALL ON default.* FROM username;

ClickHouse 本身不直接提供加密备份的功能，可以使用外部工具（例如 GPG、OpenSSL等）加密备份文件。

复制代码

//使用 GPG 加密
clickhouse-backup create
gpg --symmetric --cipher-algo AES256 backup.tar.gz