保护 Redis 部署的 5 个基本步骤

最近的安全报告指出了对配置错误的 Redis 数据库发起攻击的风险。以下是保护您的 Redis 部署的五个基本步骤。

最近，网络研究社区强调了攻击者如何一直在滥用配置不安全的 Redis 数据库。作为世界上使用最广泛的 NoSQL 数据库之一，Redis 庞大的安装量（包括开源版和商业版）使其成为攻击者的自然目标。

然而，Redis 用户可以采取一些基本步骤来降低遭受攻击的风险，例如最近由 AquaSec 识别的 HeadCrab 恶意软件攻击活动。

需要注意的是，没有迹象表明 Redis Enterprise 软件或 Redis Cloud 服务受到了这些攻击的影响。

自版本 3.2.0 起，当 Redis 开源版 (Redis OSS) 在默认配置下运行且无需任何密码即可访问时，它会进入一个称为保护模式（protected mode）的特殊模式。在此模式下，Redis 仅回复来自回环接口（loopback interfaces）的查询。当客户端从其他地址连接时，Redis OSS 会回复一个错误，解释问题并说明如何正确配置 Redis。

我们期望保护模式能减少因未受保护的 Redis 实例在没有适当管理的情况下运行而引起的安全问题。但系统管理员可以忽略 Redis 发出的错误；这些管理员可以禁用保护模式或手动绑定所有接口。看起来有大量这类部署正成为 HeadCrab 等攻击的目标。

以下是一些关于如何开始保护您的 Redis 部署的基本建议：

在可信网络内部署 Redis。在可能的情况下，管理员应避免将 Redis 直接暴露在公共互联网上。配置安全组（security groups）和 IP 白名单（IP whitelisting）等控制措施，仅暴露必要的服务。
确保您正确配置用户访问控制。这包括分离数据库用户和管理员账户、强制使用强密码、禁用默认用户账户以及实施基于角色的访问控制 (RBAC)。Redis Enterprise 软件客户可以选择启用 LDAP 认证，而 Redis Cloud 客户可以使用其企业 SSO 系统控制访问。
在可能的情况下，强制执行 Redis TLS 加密和认证以用于通信。虽然 Redis 支持自签名证书，但我们强烈建议您使用具有有效公共信任链的证书。
确保您将 Redis 日志发送到远程日志服务，并监控它们是否有异常使用或行为的迹象。
最后，参加我们免费的 Redis University 课程，学习如何安全地配置和部署 Redis。本课程提供了关于功能和最佳实践的直接演练。

有关如何安全配置、部署和使用 Redis 的更多详细信息，请访问我们的开源和商业软件文档网站。

保护 Redis 部署的 5 个基本步骤

相关文章

视频

视频

视频