Redis 加固怎么配置

Redis 加固配置我这里介绍六项安全加固标准配置，从六个角度来加固，可能不全但是相对而言已经达到防护效果。

一、限制redis 配置文件访问权限 | 文件权限

描述

因为redis密码明文存储在配置文件中，禁止不相关的用户访问改配置文件是必要的，设置redis配置文件权限为600

加固建议

执行以下命令修改配置文件权限：

chmod 600 /<filepath>/redis.conf

操作时建议做好记录或备份

二、修改默认6379端口 | 服务配置

描述

避免使用熟知的端口,降低被初级扫描的风险

加固建议

编辑文件redis的配置文件redis.conf，找到包含port的行，将默认的6379修改为自定义的端口号，然后重启redis

操作时建议做好记录或备份

三、禁用或者重命名危险命令 | 入侵防范

描述

Redis中线上使用keys *命令，也是非常危险的。因此线上的Redis必须考虑禁用一些危险的命令，或者尽量避免谁都可以使用这些命令，Redis没有完整的管理系统，但是也提供了一些方案。

加固建议

修改 redis.conf 文件，添加

rename-command FLUSHALL “” rename-command FLUSHDB “” rename-command CONFIG “” rename-command KEYS “” rename-command SHUTDOWN “” rename-command DEL “” rename-command EVAL “” 

然后重启redis。 重命名为”” 代表禁用命令，如想保留命令，可以重命名为不可猜测的字符串，如： rename-command FLUSHALL joYAPNXRPmcarcR4ZDgC

操作时建议做好记录或备份

四、禁止监听在公网 | 访问控制

描述

Redis监听在0.0.0.0，可能导致服务对外或内网横向移动渗透风险，极易被黑客利用入侵。

加固建议

在redis的配置文件redis.conf中配置如下： bind 127.0.0.1或者内网IP，然后重启redis

操作时建议做好记录或备份

五、禁止使用root用户启动 | 访问控制

描述

使用root权限去运行网络服务是比较有风险的（nginx和apache都是有独立的work用户，而redis没有）。redis crackit 漏洞就是利用root用户的权限来替换或者增加authorized_keys，来获取root登录权限的

加固建议

使用root切换到redis用户启动服务:

useradd -s /sbin/nolog -M redis sudo -u redis //redis-server //redis.conf 

操作时建议做好记录或备份

六、打开保护模式 | 访问控制

描述

redis默认开启保护模式。要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问。

加固建议

redis.conf安全设置： # 打开保护模式 protected-mode yes

操作时建议做好记录或备份

redis安全加固措施有以下这些：

• 服务端密码采用PBKDF2加密后保存到redis.conf。

• 涉及加解密的秘钥不能写死到代码中，秘钥最好支持定期替换。

• 禁止将口令等敏感信息传送到客户端，因此需要禁掉config get requirepas/masterauth/requireuserpass等功能。

• Redis修改密码没有复杂度检查，提供单独的Redis修改工具来修改密码，最好能进行口令复杂度检查。

• 在输入错误的用户名或密码时，不能出现类似于“密码错误”、“用户名不存在”之类的过于明确的原因提示信息，以防止攻击者用于猜解系统用户名/口令。

• 单独运行tracemonitor进程(python版),定期管理Redis日志文件大小,主要是日志压缩和定期删除,避免占用过多磁盘。

打开保护模式，redis默认开启保护模式。要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问。

打开保护模式，redis默认开启保护模式。要是配置里没有指定bind和密码，开启该参数后，redis只能本地访问，拒绝外部访问。