redis安全加固等保测评_redis等保2.0测评

文章来源：哈尔滨等保测评,黑龙江三级等保,等保合规,等保代办,信息安全风险评估,亿林安全-可靠的云安全服务商

Redis的主从同步方案

应用服务器在存库的时候，将数据存储于Redis集群中；整个Redis集群通过Slot操作，将所有的数据以散列的形式均匀存储到各个节点中。同时，为了保证数据的安全，一方面每一个Redis节点在存储时都以镜像的形式将数据存储在本地磁盘中，另一方面为集群中的每个节点提供一个备用节点。这样，当Redis中的某个主节点失效时，可以自动通过主从切换，切换到从节点上，即能保证数据安全，又能保障系统高可用。

13.2 GemFire的节点数据复制

Redis主从同步方案，在主节点正常运行的情况下，从节点处于闲置状态，对分担系统压力不能起到任何作用。这时，GemFire的即能保证数据安全、又能保证系统可用的 “多节点的数据复制” 方案被推出；GemFire被 12306网站采用。

GemFire是一个位于应用集群和后端数据源之间的高性能、分布式的操作数据(operational data)管理基础架构。它提供了低延迟、高吞吐量的数据共享和事件分发。GemFire充分利用网络中的内存和磁盘资源，形成一个实时的数据网格(data fabric or grid)。

GemFire的主要特性有：

1）多种网络拓扑

2）高并发的内存数据结构，避免锁争夺

3）可选的ACID

4）序列化(native serialization)和智能缓冲(smart buffering)保证消息快速分发

5）同步或异步写磁盘

6）冗余内存拷贝

GemFire数据库的核心是一个叫作GemFire Data Fabric的分布式存储结构。在该存储结构中，海量的数据以散列的形式分布存储在多个物理节点的内存中，形成内存资源池。同时，在这个池中的每一条数据，除了存储在主数据点上以外，还以“热备数据点”的形式，复制在其他的多个数据点上。这样，当其中一个物理节点宕机时，就可用自动切换到其他数据点，使其中的某个“热备数据点”自动升级成主数据点，从而保证了集群中数据访问的安全可靠。

13.3 Redis的异步化写数据方案

开源的Redis没有强大而成熟的持久化方案，无法直接将数据持久化到数据库等存储设备中。但对于内存数据库的技术方案来说这个能力是必需的。

实现Redis的数据持久化，难题就在于如果已经将数据写入Redis了，再想通过Redis的API接口将还没有持久化的数据读出来，难度较大。

我们可以将写数据库的过程前置，提前到了与应用服务器写Redis同时。然而，在这个方案中我们又不希望将写数据库放到用户响应的事务中，这会影响系统性能。因此，采用异步化的写数据库，即将写库请求先打包成一个消息放到消息队列中，再由另一个守护进程从消息队列中读取消息，去写库。

这个方案采用了异步化写库，响应速度提高了，技术难度降低了，系统可靠性与数据安全也得到了保障。唯一的缺点就是，写数据库有一定的延时，不能与Redis中的数据完全同步。
 

Redis安全加固等保测评

Redis（Remote Dictionary Server）是一个开源的、基于内存的数据结构存储系统，被广泛应用于缓存、队列、发布/订阅等场景。然而，由于Redis的默认配置较为宽松，安全性较低，容易受到攻击。为了保证Redis系统的安全性，需要进行安全加固等保测评，本文主要介绍了一些常用的Redis安全加固措施，并提供了相应的代码示例。
1. Redis的默认配置

在开始Redis安全加固之前，我们先了解一下Redis的默认配置，以便更好地理解接下来的安全措施。

Redis的默认配置文件为redis.conf，其中包含了一些重要的安全配置项：

    bind 127.0.0.1：该配置项指定了Redis监听的IP地址，默认为127.0.0.1，表示只允许本地访问。
    protected-mode yes：该配置项指定了Redis的保护模式，默认为开启，只允许通过本地回环接口访问Redis。
    requirepass：该配置项用于设置Redis的密码，如果没有设置密码，则默认为空，即不需要密码即可访问Redis。

2. Redis安全加固措施
2.1 修改绑定IP地址

为了防止未经授权的访问，我们可以将Redis绑定到指定的IP地址，只允许特定的主机进行访问。

在redis.conf配置文件中，将bind配置项修改为需要绑定的IP地址，例如bind 192.168.1.100，表示只允许IP地址为192.168.1.100的主机进行访问。
2.2 设置密码

为了增加Redis的访问安全性，我们需要设置一个密码，只有知道密码的用户才能访问Redis。

在redis.conf配置文件中，将requirepass配置项修改为需要设置的密码，例如requirepass mypassword，表示将密码设置为mypassword。
2.3 限制访问权限

除了绑定IP地址和设置密码之外，我们还可以使用其他方式限制Redis的访问权限。
2.3.1 修改防护模式

在redis.conf配置文件中，将protected-mode配置项修改为yes，表示开启防护模式，只允许通过本地回环接口访问Redis。
2.3.2 使用防火墙

除了在Redis本身进行配置之外，我们还可以使用防火墙来限制Redis的访问。通过配置防火墙规则，只允许特定的IP地址或IP段进行访问。

以下是一个使用iptables配置防火墙规则的示例代码：

# 允许本地回环接口的访问
iptables -A INPUT -i lo -j ACCEPT
 
# 允许指定IP地址的访问
iptables -A INPUT -s 192.168.1.100 -j ACCEPT
 
# 允许指定IP段的访问
iptables -A INPUT -s 192.168.0.0/24 -j ACCEPT
 
# 其他所有IP地址禁止访问
iptables -A INPUT -j DROP

2.4 使用SSL加密传输

为了保护Redis的数据传输安全，我们可以使用SSL（Secure Sockets Layer）加密传输。

在Redis 6.0及以上版本中，已经支持SSL加密传输。我们需要生成SSL证书，并在redis.conf配置文件中启用SSL配置项。

以下是一个使用openssl生成SSL证书的示例代码：

# 生成私钥
openssl genrsa -out redis.key 2048
 
# 生成证书签名请求
openssl req -new -key redis.key -out redis.csr
 
# 生成自签名证书
openssl x509 -req -days 365 -in redis.csr -signkey redis.key -out redis.crt