面试题：ElasticSearch搜索安全策略之防止数据泄露

1. 基于角色的访问控制（RBAC）

原理：通过定义不同角色及其权限，限制不同用户对 Elasticsearch 索引的访问级别。只有被授权的角色才能访问包含敏感用户信息的索引。
配置示例：在 Elasticsearch 中，可以通过 X-Pack 来实现 RBAC。首先，创建角色，例如：

PUT _security/role/sensitive_data_reader
{
  "cluster": [],
  "indices": [
    {
      "names": ["sensitive_user_info_index"],
      "privileges": ["read"]
    }
  ]
}

然后，将该角色分配给相应的用户：

PUT _security/user/sensitive_user
{
  "password": "password",
  "roles": ["sensitive_data_reader"]
}

2. 字段级别的权限控制

原理：对索引中的特定敏感字段设置访问权限，使得即使具有索引读取权限的用户，也无法查看敏感字段。
配置示例：在索引映射中，可以定义字段级别的权限。例如，假设敏感字段是 user_email：

PUT sensitive_user_info_index
{
  "mappings": {
    "properties": {
      "user_email": {
        "type": "text",
        "fielddata": true,
        "security": {
          "grant": ["sensitive_data_reader"]
        }
      },
      "other_non_sensitive_field": {
        "type": "text"
      }
    }
  }
}

这样只有 sensitive_data_reader 角色的用户才能查看 user_email 字段。

3. 防止模糊查询数据枚举

原理：通过限制模糊查询的范围和精度，避免攻击者通过模糊查询枚举大量数据。
技术手段：
- 使用前缀查询代替模糊查询：如果必须使用模糊查找，尽量使用前缀查询（prefix 查询）。例如，使用 prefix 查询代替 wildcard 查询。prefix 查询只匹配以指定字符串开头的文档，大大缩小了匹配范围。
- 限制模糊查询的长度：在 Elasticsearch 中，可以通过配置 index.max_ngram_diff 参数来限制模糊查询（如 wildcard 查询）中允许的字符差异数量。例如，在 elasticsearch.yml 文件中添加：

index.max_ngram_diff: 3

这意味着模糊查询中通配符前后的字符差异不能超过3个字符，从而减少了枚举的可能性。

4. 输入验证和过滤

原理：在应用层对用户输入的搜索关键词进行验证和过滤，防止恶意构造的查询语句。
技术手段：在应用程序代码中，对传入的搜索关键词进行正则表达式匹配等验证。例如，在 Python 使用 Flask 框架时：

import re
from flask import Flask, request

app = Flask(__name__)

@app.route('/search')
def search():
    keyword = request.args.get('keyword')
    if not re.fullmatch('[a-zA-Z0-9\s]{1,50}', keyword):
        return 'Invalid search keyword', 400
    # 这里进行正常的 Elasticsearch 查询逻辑
    return 'Search results'

这样只允许由字母、数字和空格组成，长度在 1 到 50 之间的关键词进行搜索，防止恶意查询。

5. 启用 SSL/TLS 加密

原理：对 Elasticsearch 集群与客户端之间传输的数据进行加密，防止数据在传输过程中被窃取或篡改。
配置示例：在 elasticsearch.yml 文件中配置 SSL/TLS 相关参数，例如：

xpack.security.http.ssl:
  enabled: true
  keystore.path: certs/elastic-certificates.p12
  keystore.password: <keystore_password>

同时，客户端在连接 Elasticsearch 时，也需要配置相应的 SSL/TLS 证书验证等参数，以确保通信安全。

6. 定期审计和监控

原理：通过对 Elasticsearch 的操作日志进行审计和监控，及时发现异常的搜索行为，如频繁的模糊查询等潜在攻击行为。
技术手段：使用 Elasticsearch 自带的审计日志功能，或结合外部监控工具如 Kibana 等。在 elasticsearch.yml 中开启审计日志：

xpack.security.audit.enabled: true
xpack.security.audit.destination: file
xpack.security.audit.file:
  name: audit.log
  path: /var/log/elasticsearch
  level: INFO

然后可以通过分析 audit.log 文件或在 Kibana 中配置可视化界面来监控搜索行为，发现异常及时采取措施。