Deepseek-ClickHouse数据库的安全策略

简介

ClickHouse是一个高性能的列式数据库管理系统,旨在处理大量数据的实时分析和查询。它的设计目标是提供快速、高效的查询性能,同时保证数据的安全性和可靠性。近期,DeepSeek的ClickHouse数据库因未经身份验证的访问漏洞,意外暴露了超过100万行的敏感数据。

安全策略

1. 用户权限管理

  • 创建用户

    CREATE USER username IDENTIFIED WITH plaintext_password BY 'password'; //创建一个用户名为 username 的用户,并设置密码。

  • 授予权限

    GRANT SELECT, INSERT ON database.* TO username; //为用户 username 授予对 database 数据库下所有表的 SELECT 和 INSERT 权限。

  • 撤销权限

    REVOKE SELECT, INSERT ON database.* FROM username; //撤销用户 username 对 database 数据库下所有表的 SELECT 和 INSERT 权限。

  • 删除用户

    DROP USER username;

2. 加密

  • 启用 TLS/SSL : 在 clickhouse-server 配置文件 config.xml 中启用 TLS(SSL)加密:

    <tcp_port_secure>9440</tcp_port_secure>
    <https_port>8443</https_port>
    <secure_connection_timeout>60</secure_connection_timeout>
    <listen_host>::</listen_host>
    <ssl_certificate>/path/to/certificate.crt</ssl_certificate>
    <ssl_private_key>/path/to/private.key</ssl_private_key>
    <ssl_ca_certificate>/path/to/ca.crt</ssl_ca_certificate>

  • 启用数据加密(加密磁盘数据): 数据加密通常通过操作系统或存储层级(如 LUKS 或 BitLocker)来实现。ClickHouse 本身不提供直接加密数据存储的功能,但可以配合系统级加密技术来加密数据目录。

3. 审计日志

  • 开启查询日志 : 在 config.xml 中配置查询日志:

    <query_log>
    <enabled>1</enabled>
    <path>/var/log/clickhouse-server/query.log</path>
    </query_log>

  • 开启操作日志 : 在 config.xml 中配置操作日志:

    <operation_log>
    <enabled>1</enabled>
    <path>/var/log/clickhouse-server/operation.log</path>
    </operation_log>

4. 限制查询行为 (防止恶意查询)

  • 限制查询执行时间: 你可以限制查询的最大执行时间:

    SET max_execution_time = 60; -- 限制查询执行时间不超过60秒

  • 限制查询内存使用: 限制每个查询的最大内存使用:

    SET max_memory_usage = 10000000000; -- 限制最大内存使用为 10GB

  • 限制查询返回行数: 限制查询最多返回的行数:

    SET max_result_rows = 10000; -- 限制每个查询最多返回 10000 行

5. 访问限制

  • 限制 IP 地址访问 : 在 config.xml 中配置允许访问的 IP 地址范围:

    <listen_host>127.0.0.1</listen_host> -- 仅允许本地连接

  • 配置用户访问限制: 如果只想允许特定 IP 地址的用户访问数据库,可以在用户配置时限制该用户的 IP 地址:

    CREATE USER username IDENTIFIED WITH plaintext_password BY 'password' HOST '192.168.1.%';

6. 其他安全配置

  • 关闭 HTTP 接口 : 如果不需要 HTTP 接口,可以在 config.xml 中禁用:

    <http_port>0</http_port>

或者完全禁用 HTTP 接口:

复制代码
<http_secure_port>0</http_secure_port>
  • 禁用默认数据库 : 可以配置 ClickHouse 禁用默认数据库(如 default)的访问权限:

    REVOKE ALL ON default.* FROM username;

7. 配置加密备份

ClickHouse 本身不直接提供加密备份的功能,可以使用外部工具(例如 GPG、OpenSSL等)加密备份文件。

复制代码
//使用 GPG 加密
clickhouse-backup create
gpg --symmetric --cipher-algo AES256 backup.tar.gz
相关推荐
Hello.Reader3 小时前
Redis 延迟监控深度指南
数据库·redis·缓存
ybq195133454313 小时前
Redis-主从复制-分布式系统
java·数据库·redis
码农12138号3 小时前
BUUCTF在线评测-练习场-WebCTF习题[GXYCTF2019]BabyUpload1-flag获取、解析
web安全·网络安全·文件上传漏洞·buuctf·解析漏洞
Johny_Zhao3 小时前
Docker + CentOS 部署 Zookeeper 集群 + Kubernetes Operator 自动化运维方案
linux·网络安全·docker·信息安全·zookeeper·kubernetes·云计算·系统运维
好奇的菜鸟6 小时前
如何在IntelliJ IDEA中设置数据库连接全局共享
java·数据库·intellij-idea
tan180°6 小时前
MySQL表的操作(3)
linux·数据库·c++·vscode·后端·mysql
满昕欢喜6 小时前
SQL Server从入门到项目实践(超值版)读书笔记 20
数据库·sql·sqlserver
Hello.Reader7 小时前
Redis 延迟排查与优化全攻略
数据库·redis·缓存
简佐义的博客8 小时前
破解非模式物种GO/KEGG注释难题
开发语言·数据库·后端·oracle·golang
爬山算法8 小时前
MySQL(116)如何监控负载均衡状态?
数据库·mysql·负载均衡