Redis等保测评指导手册（redis等保测评指导书）

Redis等保测评指导手册

Redis是一种流行的高性能开源NoSQL数据库，广泛用于WEB应用程序中做缓存、队列等。正因为其广泛应用，开发者们也开始重视Redis的安全与稳定性，对Redis进行等保测评。

在进行Redis的等保测评之前，我们需要先了解Redis的安全风险。常见的Redis安全问题包括未授权访问、命令注入、拒绝服务攻击等。以下是一些本人总结的Redis安全风险控制建议：

1. 使用密码保护Redis

在Redis服务器配置文件redis.conf中设置密码来保护Redis不受未经授权的访问。在redis.conf中开启密码保护的方法是：将requirepass参数注释去掉，并给定一个不易猜测的密码，例如：requirepass yourpassword。

2. 禁止执行危险命令

一些危险的Redis命令，如FLUSHALL、FLUSHDB、CONFIG等，可能破坏Redis或敏感数据的安全性。因此，限制对Redis危险命令的使用可以减少Redis被攻击的可能性。可以使用命令：CONFIG SET protected-mode yes来启用保护模式，该模式禁止执行危险命令。

3. 使用Access Control List（ACL）

Redis 6.0版本开始引入Access Control List（ACL）功能，能够实现逐条设置访问权限和角色，更好地限制Redis的访问范围和保护内容。ACL功能能够限制连接、命令等操作，限制用户访问Redis的方式。

4. 更新Redis到最新版本

新版本的Redis通常容错性更好，会修复早期版本中发现的bug以及安全漏洞。将Redis更新到最新版本可以更有效地保护Redis的安全性。

5. 使用SSL加密

如果在客户端和Redis服务器之间存在数据传输抓取的威胁，则应该对Redis配置SSL加密。Redis支持使用stunnel等程序来进行SSL加密传输。

以上为Redis安全控制的一些建议，我们进行Redis等保测评时也需要注意以下几点：

1. 在Redis所在的服务器中，关闭不必要的网络服务和端口。只开放必须的端口。

2. 只授权有权限的用户，只允许授权过的用户访问敏感数据和操作。

3. 保持Redis所在服务器的安全性和稳定性，以及持续监控Redis的日志文件，及时发现异常行为并采取措施。

4. 及时更新Redis到最新版本。升级过程中应该备份原有的数据并进行测试。

最后引用一下网上一份专业Redis等保测评资料中的代码示例，供大家参考：

#!/usr/bin/env python
import redis
from redis.sentinel import Sentinel
""" 常规模式 """
r = redis.Redis(host='127.0.0.1', port=6379, db=0, password='ztest')
r.ping()
""" 哨兵模式 """
sentinel = Sentinel([('127.0.0.1', 26379)], socket_timeout=0.5)
r = sentinel.master_for('mymaster', password='ztest')
r.ping()
"""
mymaster上线Offline
[root@localhost ~]# redis-cli -p 6381
127.0.0.1:6381> info replication
# Replication
role:slave
master_host:127.0.0.1
master_port:6379
master_link_status:down
master_last_io_seconds_ago:-1
master_sync_in_progress:0
slave_repl_offset:0
slave_priority:100
slave_read_only:1
connected_slaves:0
master_replid:9bb7a46c0af3ec8c98a1bb059264f554d848528e
master_replid2:9bb7a46c0af3ec8c98a1bb059264f554d848528e
master_repl_offset:0
second_repl_offset:-1
repl_backlog_active:0
repl_backlog_size:1048576
repl_backlog_first_byte_offset:0
repl_backlog_histlen:0
[root@localhost ~]# redis-cli -p 6379
127.0.0.1:6379> slaveof no one
OK
127.0.0.1:6379> info replication
# Replication
role:master
connected_slaves:0
master_replid:d27eeb73302bdc5a1c5f6f41a6a5be6af5f5b703
master_replid2:0000000000000000000000000000000000000000
master_repl_offset:0
second_repl_offset:-1
repl_backlog_active:0
repl_backlog_size:1048576
repl_backlog_first_byte_offset:0
repl_backlog_histlen:0
"""
sentinel.flover('mymaster')
""" 哨兵模式举个数据 """
for i in range(1, 11):
 val = str(i)
 r.set(i, val)
print(r.get("4"))
"""
""" 哨兵客户端自动去寻找主机 """
r0 = sentinel.master_for('mymaster', password='ztest')
print(r0.get("4"))
""" 哨兵管理的主从关系，宕机后自动故障转移 """
r1 = sentinel.slave_for('mymaster', password='ztest')
print(r1.get("4"))