ClickHouse HTTP Interface Public Scraping
Definition: Bezeichnet die unautorisierte Nutzung einer öffentlich erreichbaren ClickHouse-HTTP-Schnittstelle zum Abrufen und Extrahieren von Daten. Angreifer senden dabei strukturierte SQL-Abfragen über HTTP-Endpunkte, um Tabellen, Schemata und sensible Datensätze auszulesen. Häufig sind Fehlkonfigurationen, fehlende Authentifizierung oder zu locker gesetzte Netzwerkzugriffsregeln die Ursache.
ClickHouse ist eine spaltenorientierte Datenbank für analytische Workloads. Ihre HTTP-Schnittstelle erlaubt es, per HTTP SQL-Abfragen zu senden und Antworten im JSON-, CSV- oder Parquet-Format zu empfangen. Wird dieser Endpunkt ohne ausreichende Schutzschicht im öffentlichen Netz bereitgestellt, können Fremde die Datenbank abfragen. Diese unautorisierte, automatisierte Extraktion wird als ClickHouse HTTP Interface Public Scraping bezeichnet.
Warum die HTTP-Schnittstelle ein lohnendes Ziel ist
Die Reizschwelle für Angreifer sinkt drastisch, weil kein spezielles Datenbank-Protokoll benötigt wird. Ein HTTP-Client genügt. Über Parameter wie query, default_format oder max_result_rows lassen sich Abfragen präzise steuern. Zudem liefert das System wertvolle Metadaten. Systemtabellen verraten vorhandene Datenbanken, Tabellennamen, Spalten und sogar Abfragen aus dem Query Log.
Angreifer nutzen diese Informationen, um gezielt nach Kunden-, Zahlungs- oder Zugangsdaten zu suchen. Für viele ist bereits die Existenz einer offenen Schnittstelle ein Signal: Die Umgebung ist vermutlich nur unzureichend gehärtet. Je weniger Aufwand für den Zugriff nötig ist, desto höher wird das Interesse an weiterer Ausbeutung.
Typische Scraping-Methoden im Umgang mit ClickHouse
Gängige Muster sind:
- Abrufen aller Datenbanken:
SHOW DATABASES - Aufzählen der Tabellen:
SELECT * FROM system.tables - Exportieren ganzer Tabellen:
SELECT * FROM <tabelle> FORMAT JSONEachRowoderFORMAT CSV - Wiederholte Abfragen mit variierenden Bedingungen, um Spaltenwerte zu erraten
Die Extraktion erfolgt meist in mehreren Schritten. Zuerst wird die Struktur erkundet, dann werden Datenbestände abgefahren. Auffällig ist, dass die Abfragen nicht sauber aus einer Business-Anwendung stammen, sondern heuristisch wirken: breite Tabellen, große LIMIT-Werte, häufige Formatwechsel.
Schutzmaßnahmen gegen öffentlichen Datenabfluss
| Ebene | Maßnahme | Wirkung |
|---|---|---|
| Netzwerk | Zugriff über Firewall auf vertraute IP-Bereiche begrenzen | Reduziert die Angriffsfläche erheblich |
| Transport | HTTPS erzwingen und Reverse Proxy mit Authentifizierung vorschalten | Verhindert anonyme Nutzung und Mitlesen |
| Datenbank | Benutzer mit ausschließlich benötigten Rechten und Readonly-Rollen anlegen | Begrenzt den Schaden bei kompromittierten Zugangsdaten |
| Monitoring | Zugriffs- und Query-Logs auf Anomalien prüfen | Ermöglicht frühzeitige Erkennung und Reaktion |
Wichtig ist, nicht nur die Datenbank selbst zu härten. Auch das Framing muss stimmen: Die Schnittstelle ist ein Produktbestandteil, kein isoliertes Netzwerkdetail. Security-Teams sollten deshalb Abläufe für Config-Review, Deployment-Pipelines und Disaster Recovery gemeinsam betrachten.
Erkennung von Scraping und Reaktion im Ernstfall
Typische Indikatoren sind eine hohe Zahl unautorisierter SELECT-Abfragen, Zugriffe auf Systemtabellen, ungewöhnlich große Antwortdatenmengen und Requests aus IP-Räumen, die sonst nie erscheinen.
Ein logischer erster Schritt ist das Sperren der Quelle auf Firewall-Ebene, gefolgt von einer Prüfung der Zugangsdaten. Danach sollten betroffene Tabellen identifiziert und exportierte Datenmengen geschätzt werden. Im Zweifel hilft eine forensische Analyse der Query-Logs, um den Zeitraum der Exfiltration einzugrenzen.
« Back to Glossary IndexStellen Sie sich ein gut gefülltes Archiv mit offenem Lieferanteneingang vor. Der Pförtner existiert, aber seine Tür steht weit auf. Jeder Besucher kann Kisten herausragen, solange niemand die Bewegungen beobachtet. Diese Analogie beschreibt die Situation einer öffentlichen ClickHouse-HTTP-Schnittstelle: Der Datenabfluss ist kein Hack, sondern ein Service – mit katastrophalen Folgen. Offenheit nützt nur dann, wenn man weiß, wer kommt und was er nimmt.