MarkLogic客户在休息时使用加密？反馈赞赏

Question

我的老板要求我了解一下MarkLogic客户在休息时使用加密的情况。从服务器版本9：https://help.marklogic.com/knowledgebase/article/View/encryption-at-rest开始，该产品就提供了即时加密功能。

我的公司正在考虑利弊。我可能也会接触到ML客户成功团队，但我也希望得到实际的客户反馈。我相信这在技术上是可行的，但我希望得到一些反馈：

• 实现起来有多容易?有多难实现？
• 运行时性能受到了多大的影响？
• 是否有向加密迁移的“陷阱/惊喜”？

。

另外，您是否实现了外部或内部密钥管理？：https://help.marklogic.com/Knowledgebase/Article/View/encryption-at-rest-with-an-external-kms-in-marklogic

在我们的例子中，我们没有任何PCI或HIPAA数据&只有小的PII (姓名和电子邮件地址)。我们的数据库服务器都是托管在私有子网中的，因此外围安全并不坏。在过去，我们认为“果汁不值得挤压”来加密休息。现在，一项最近的咨询评估表明，我们(再次)考虑了这一点。

谢谢你能提供的任何反馈！

Answer 1

一些可能是“令人惊讶”的事情是内存需求和利用率如何改变的。

范围索引通常是(未加密的)内存映射文件，它们被视为内存中的文件，但依赖于操作系统透明地读取，并利用文件缓存和缓冲区。

在rest加密的情况下，通常是文件的范围索引内存是ANON。需要在读取时对范围索引文件进行解密，并将信息保存在内存中。这将改变信息的访问方式，并且需要使用更多的ANON。而且由于它现在在ANON中，当内存较低时，它可以/将更频繁地使用交换，而不是在没有加密的系统中使用交换。

Answer 2

您可以使用整个磁盘加密“移动问题”。由于您的AWS，您可以使用EBS加密，或您可以DIY它在短期内。这应该允许内存映射的操作系统访问文件，而不需要更多的RAM (EBS)，或者不需要更多的内存(根据使用的全磁盘加密SW，这是短暂的)。

ML加密的一个关键优点是，如果你不需要，你就不需要.不是整个磁盘加密，而是森林加密。有些用例很重要，有些则不重要。