MK
摩柯社区 - 一个极简的技术知识社区
AI 面试

HBase共享页面的安全防护

2022-06-225.2k 阅读

HBase共享页面安全威胁概述

在HBase环境中，共享页面面临着多种安全威胁。这些威胁可能导致数据泄露、非法操作执行，进而影响整个系统的稳定性和数据的完整性。

未授权访问

未授权访问是最为常见的威胁之一。恶意用户可能尝试绕过身份验证机制，直接访问HBase共享页面。例如，通过构造特定的HTTP请求，尝试访问管理页面或数据展示页面。如果身份验证机制存在漏洞，恶意用户就能够获取敏感数据，如用户信息、业务关键数据等。

注入攻击

  1. SQL注入（虽HBase非传统SQL数据库，但存在类似风险）：在一些与HBase交互的接口可能存在参数拼接不当的情况。攻击者可以利用这些漏洞，通过在输入字段中插入恶意SQL语句（或类似HBase查询语法的恶意语句），来执行非预期的操作，如删除数据、修改数据结构等。
  2. 命令注入：当HBase共享页面调用外部命令或脚本，并且输入验证不严格时，攻击者可以注入恶意命令。例如，在执行数据导入导出功能时，如果输入路径参数未经过充分验证，攻击者可以注入系统命令，导致服务器执行任意恶意命令，如删除系统文件、安装恶意软件等。

跨站脚本攻击（XSS）

  1. 反射型XSS：攻击者构造包含恶意脚本的URL，诱使用户点击。当用户访问该URL时，恶意脚本会在用户浏览器中执行，可能获取用户的登录凭证、会话信息等。例如，在HBase的搜索功能中，如果搜索结果未对特殊字符进行转义，攻击者可以在搜索关键词中嵌入恶意脚本，当其他用户查看搜索结果时，脚本就会被执行。
  2. 存储型XSS：攻击者将恶意脚本存储在HBase数据库中，当其他用户访问相关页面时，脚本会被加载并执行。比如在用户评论、数据备注等功能中，如果没有对输入进行严格的过滤和转义，就容易受到存储型XSS攻击。

身份验证机制强化

使用Kerberos进行身份验证

Kerberos是一种网络认证协议，它通过使用对称密钥加密技术为客户端/服务器应用程序提供强大的身份验证。在HBase中集成Kerberos可以有效防止未授权访问。

  1. 配置HBase使用Kerberos
    • 首先，确保Hadoop集群已经配置好Kerberos。编辑HBase的hbase - site.xml文件，添加以下配置：
<configuration>
    <property>
        <name>hbase.security.authentication</name>
        <value>kerberos</value>
    </property>
    <property>
        <name>hbase.security.authorization</name>
        <value>true</value>
    </property>
    <property>
        <name>hadoop.security.authentication</name>
        <value>kerberos</value>
    </property>
    <property>
        <name>hbase.master.kerberos.principal</name>
        <value>hbase/_HOST@YOUR_REALM.COM</value>
    </property>
    <property>
        <name>hbase.regionserver.kerberos.principal</name>
        <value>hbase/_HOST@YOUR_REALM.COM</value>
    </property>
</configuration>
  • 这里需要将YOUR_REALM.COM替换为实际的Kerberos领域。同时，需要为HBase服务主体创建相应的keytab文件，并将其放置在合适的位置，赋予HBase进程相应的访问权限。
  1. 客户端认证
    • 在客户端代码中，需要使用Kerberos认证获取访问HBase的权限。以下是一个Java示例：
import org.apache.hadoop.conf.Configuration;
import org.apache.hadoop.hbase.HBaseConfiguration;
import org.apache.hadoop.hbase.client.Connection;
import org.apache.hadoop.hbase.client.ConnectionFactory;
import org.apache.hadoop.security.UserGroupInformation;

import java.io.IOException;

public class HBaseKerberosClient {
    public static void main(String[] args) {
        Configuration conf = HBaseConfiguration.create();
        conf.set("hadoop.security.authentication", "kerberos");
        conf.set("hbase.security.authentication", "kerberos");
        try {
            UserGroupInformation.setConfiguration(conf);
            UserGroupInformation.loginUserFromKeytab("hbase/_HOST@YOUR_REALM.COM", "/path/to/hbase.keytab");
            Connection connection = ConnectionFactory.createConnection(conf);
            // 在这里可以进行HBase操作
            connection.close();
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}
  • 上述代码中，通过UserGroupInformation.loginUserFromKeytab方法使用keytab文件进行认证，然后创建HBase连接。

基于Token的身份验证

除了Kerberos，HBase还支持基于Token的身份验证。Token是一种轻量级的认证方式，适用于一些对性能要求较高且安全需求相对适中的场景。

  1. 生成和使用Token
    • 在服务端，当客户端成功进行身份验证后，可以生成Token。以下是在HBase服务端生成Token的简单示例（基于Java）：
import org.apache.hadoop.hbase.client.Connection;
import org.apache.hadoop.hbase.client.ConnectionFactory;
import org.apache.hadoop.hbase.security.token.Token;
import org.apache.hadoop.hbase.security.token.TokenIdentifier;
import org.apache.hadoop.hbase.util.Bytes;
import org.apache.hadoop.security.UserGroupInformation;

import java.io.IOException;
import java.security.PrivilegedExceptionAction;

public class TokenGenerator {
    public static Token<TokenIdentifier> generateToken() {
        Configuration conf = HBaseConfiguration.create();
        try {
            UserGroupInformation ugi = UserGroupInformation.createUserForTesting("testUser", new String[]{"users"});
            return ugi.doAs(new PrivilegedExceptionAction<Token<TokenIdentifier>>() {
                @Override
                public Token<TokenIdentifier> run() throws Exception {
                    Connection connection = ConnectionFactory.createConnection(conf);
                    Token<TokenIdentifier> token = connection.getAdmin().generateAccessToken(Bytes.toBytes("testUser"));
                    connection.close();
                    return token;
                }
            });
        } catch (IOException | InterruptedException e) {
            e.printStackTrace();
        }
        return null;
    }
}
  • 在客户端，使用Token进行访问：
import org.apache.hadoop.conf.Configuration;
import org.apache.hadoop.hbase.HBaseConfiguration;
import org.apache.hadoop.hbase.client.Connection;
import org.apache.hadoop.hbase.client.ConnectionFactory;
import org.apache.hadoop.hbase.security.token.Token;
import org.apache.hadoop.hbase.security.token.TokenIdentifier;
import org.apache.hadoop.security.UserGroupInformation;

import java.io.IOException;

public class TokenClient {
    public static void main(String[] args) {
        Configuration conf = HBaseConfiguration.create();
        Token<TokenIdentifier> token = TokenGenerator.generateToken();
        if (token!= null) {
            conf.set("hbase.security.authentication", "token");
            conf.set("hbase.security.token.auth.use_sasl", "false");
            conf.set("hbase.security.token.provider", "org.apache.hadoop.hbase.security.token.TokenProvider");
            UserGroupInformation ugi = UserGroupInformation.createRemoteUser("testUser");
            ugi.addToken(token);
            try {
                Connection connection = ConnectionFactory.createConnection(conf, ugi);
                // 进行HBase操作
                connection.close();
            } catch (IOException e) {
                e.printStackTrace();
            }
        }
    }
}
  • 这种方式下，客户端携带Token进行认证，减少了每次认证的开销。

防止注入攻击

输入验证与过滤

  1. 参数化查询
    • 在使用HBase的Java客户端时，应尽量使用参数化查询。例如，在进行Get操作时：
import org.apache.hadoop.conf.Configuration;
import org.apache.hadoop.hbase.HBaseConfiguration;
import org.apache.hadoop.hbase.TableName;
import org.apache.hadoop.hbase.client.Connection;
import org.apache.hadoop.hbase.client.ConnectionFactory;
import org.apache.hadoop.hbase.client.Get;
import org.apache.hadoop.hbase.client.Result;
import org.apache.hadoop.hbase.client.Table;

import java.io.IOException;

public class SafeGetOperation {
    public static void main(String[] args) {
        Configuration conf = HBaseConfiguration.create();
        try (Connection connection = ConnectionFactory.createConnection(conf);
             Table table = connection.getTable(TableName.valueOf("your_table_name"))) {
            String rowKey = "safe_row_key";
            Get get = new Get(rowKey.getBytes());
            Result result = table.get(get);
            // 处理查询结果
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}
  • 这里直接将rowKey作为参数传递，而不是进行字符串拼接，避免了恶意注入。
  1. 正则表达式过滤
    • 对于一些用户输入，如搜索关键词等，可以使用正则表达式进行过滤。假设要对用户输入的表名进行验证：
import java.util.regex.Pattern;

public class TableNameValidator {
    private static final Pattern TABLE_NAME_PATTERN = Pattern.compile("^[a-zA-Z0 - 9_]+$");

    public static boolean isValidTableName(String tableName) {
        return TABLE_NAME_PATTERN.matcher(tableName).matches();
    }
}
  • 只有符合正则表达式规则的表名才被认为是合法的，防止恶意表名注入。

命令执行安全

  1. 避免直接执行用户输入命令
    • 如果HBase共享页面需要执行外部命令，应避免直接使用用户输入作为命令参数。例如，在进行数据导出时，如果需要调用hbase shell命令，不应直接拼接用户输入的表名。
    • 正确的方式是使用预定义的安全参数。假设要导出表数据到HDFS：
hbase org.apache.hadoop.hbase.mapreduce.Export -Dmapreduce.job.user.classpath.first=true your_table_name /hdfs/path/to/export
  • 这里your_table_name应经过严格验证，确保其合法性。
  1. 使用安全的命令执行库
    • 在Java中，可以使用ProcessBuilder来执行命令，并且对输入进行严格处理。例如：
import java.io.IOException;

public class SafeCommandExecution {
    public static void main(String[] args) {
        String tableName = "valid_table_name";
        try {
            ProcessBuilder processBuilder = new ProcessBuilder("hbase", "org.apache.hadoop.hbase.mapreduce.Export",
                    "-Dmapreduce.job.user.classpath.first=true", tableName, "/hdfs/path/to/export");
            Process process = processBuilder.start();
            // 处理进程输出和错误
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}
  • 通过ProcessBuilder可以更好地控制命令执行的环境和参数，减少命令注入风险。

防范跨站脚本攻击（XSS）

输入过滤与转义

  1. HTML转义
    • 在接收用户输入并展示在页面上时，需要对特殊字符进行HTML转义。在Java中，可以使用org.apache.commons.text.StringEscapeUtils库。例如：
import org.apache.commons.text.StringEscapeUtils;

public class XssFilter {
    public static String filterXss(String input) {
        return StringEscapeUtils.escapeHtml4(input);
    }
}
  • 当在JSP页面中展示用户输入的数据时：
<%@ page contentType="text/html; charset=UTF - 8" %>
<%@ page import="org.apache.commons.text.StringEscapeUtils" %>
<html>
<head>
    <title>XSS Safe Page</title>
</head>
<body>
<%
    String userInput = request.getParameter("input");
    String safeInput = StringEscapeUtils.escapeHtml4(userInput);
%>
<p><%=safeInput%></p>
</body>
</html>
  • 这样可以将特殊字符转义，防止恶意脚本执行。
  1. 白名单过滤
    • 除了HTML转义，还可以使用白名单过滤。例如，对于用户输入的富文本内容，可以只允许特定的HTML标签和属性。可以使用Jsoup库进行白名单过滤：
import org.jsoup.Jsoup;
import org.jsoup.safety.Whitelist;

public class RichTextFilter {
    public static String filterRichText(String input) {
        Whitelist whitelist = Whitelist.basic();
        whitelist.addTags("img");
        whitelist.addAttributes("img", "src");
        return Jsoup.clean(input, whitelist);
    }
}
  • 上述代码只允许img标签及其src属性，其他恶意标签和属性会被过滤掉。

内容安全策略（CSP）

  1. 设置CSP头
    • 在HBase共享页面的服务器端，设置Content - Security - Policy（CSP）头可以限制页面加载资源的来源。例如，在Java的Servlet中设置CSP头：
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@WebServlet("/hbase - page")
public class HBasePageServlet extends HttpServlet {
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        response.setHeader("Content - Security - Policy", "default - src'self'; script - src'self'");
        // 处理页面逻辑
    }
}
  • 这里设置了默认资源来源为当前站点，脚本来源也为当前站点，防止从外部加载恶意脚本。
  1. 报告URI
    • 可以设置报告URI，用于接收CSP违规报告。例如：
response.setHeader("Content - Security - Policy - Report - Only", "default - src'self'; script - src'self'; report - uri /csp - report");
  • 当发生CSP违规时，浏览器会将违规信息发送到/csp - report指定的URI，管理员可以根据这些报告来发现潜在的XSS攻击。

其他安全防护措施

网络隔离与防火墙配置

  1. 网络隔离
    • 将HBase集群部署在专用的子网中，与其他非信任网络进行隔离。例如，使用VLAN（虚拟局域网）技术将HBase服务器划分到一个独立的VLAN中，只有经过授权的网络设备可以访问该VLAN。
    • 对于不同角色的HBase节点（如Master、RegionServer），可以进一步进行子网划分。Master节点可以部署在一个子网，RegionServer部署在另一个子网，通过安全的内部网络进行通信。
  2. 防火墙配置
    • 在HBase集群的边界防火墙配置规则，只允许必要的端口通信。HBase默认使用的端口有16000（HBase Master Web UI）、16020（HBase RegionServer）等。只允许来自可信IP地址段的请求访问这些端口。
    • 例如，在Linux系统中使用iptables配置防火墙规则：
iptables -A INPUT -p tcp --dport 16000 -s trusted_ip_range -j ACCEPT
iptables -A INPUT -p tcp --dport 16020 -s trusted_ip_range -j ACCEPT
iptables -A INPUT -p tcp --dport 16010 -s trusted_ip_range -j ACCEPT # HBase Thrift Server端口
iptables -A INPUT -p tcp --dport 9090 -s trusted_ip_range -j ACCEPT # HBase REST Server端口
iptables -A INPUT -p tcp --dport 16201 -s trusted_ip_range -j ACCEPT # HBase Phoenix JDBC端口
iptables -A INPUT -p tcp --dport 16202 -s trusted_ip_range -j ACCEPT # HBase Phoenix ODBC端口
iptables -P INPUT DROP
  • 这里trusted_ip_range是可信的IP地址范围，通过这些规则，只有来自可信范围的请求可以访问HBase相关服务端口。

安全审计与监控

  1. HBase审计日志
    • 配置HBase开启审计日志功能，记录用户对HBase共享页面的操作。在hbase - site.xml文件中添加以下配置：
<configuration>
    <property>
        <name>hbase.audit.logger</name>
        <value>INFO,DRFA</value>
    </property>
    <property>
        <name>hbase.audit.logdir</name>
        <value>/var/log/hbase/audit</value>
    </property>
</configuration>
  • 上述配置将审计日志级别设置为INFO，日志目录设置为/var/log/hbase/audit。审计日志会记录诸如用户登录、表操作、数据读写等关键操作，管理员可以通过分析这些日志来发现潜在的安全问题。
  1. 监控工具
    • 使用监控工具如Ganglia、Nagios等来监控HBase集群的运行状态。可以监控HBase服务的可用性、资源使用情况（如CPU、内存、磁盘I/O）等指标。当出现异常情况，如大量的失败请求、资源利用率过高时，及时发出警报。
    • 例如，在Ganglia中添加HBase监控指标：
      • 编辑Ganglia的配置文件gmond.conf，添加如下内容：
<cluster>
    <name>YourHBaseCluster</name>
    <owner>root</owner>
    <latlong>unspecified</latlong>
    <url>unspecified</url>
</cluster>
<host>
    <name>hbase - master</name>
    <ip>hbase_master_ip</ip>
    <location>unspecified</location>
    <metric>
        <name>hbase_master_load</name>
        <value>$(curl -s http://hbase_master_ip:16010/jmx?qry=Hadoop:service = HBaseMaster,name = MasterLoad | grep -oP '"Value":\K[\d.]+')</value>
        <type>float</type>
        <units>load</units>
        <slope>both</slope>
        <format>%.2f</format>
    </metric>
    <!-- 可以添加更多HBase相关指标 -->
</host>
  • 通过监控这些指标，可以及时发现可能由安全攻击导致的系统异常，如恶意请求导致的资源耗尽。

通过以上全面的安全防护措施，可以有效提升HBase共享页面的安全性，保护数据的机密性、完整性和可用性，确保HBase集群在复杂的网络环境中稳定运行。