مقدمه

Redis یکی از سریع‌ترین پایگاه‌های داده In-Memory است که برای Cache، Session، Queue و ذخیره داده‌های موقت استفاده می‌شود. بسیاری از وب‌سایت‌های وردپرسی، لاراول، مجنتو و سایر نرم‌افزارهای تحت وب برای افزایش سرعت از Redis استفاده می‌کنند.

با وجود عملکرد بالا، تنظیمات پیش‌فرض Redis برای محیط Production مناسب نیست. در صورت پیکربندی نادرست، مهاجمان می‌توانند به داده‌های ذخیره‌شده دسترسی پیدا کنند یا حتی از Redis برای اجرای حملات استفاده کنند.

در این مقاله مهم‌ترین اقدامات برای Hardening سرویس Redis را بررسی می‌کنیم.

بررسی نسخه Redis

ابتدا نسخه نصب‌شده را بررسی کنید:

redis-server --version

یا:

redis-cli INFO server

همیشه از نسخه‌های پشتیبانی‌شده و به‌روز استفاده کنید.

پیدا کردن فایل تنظیمات

در اکثر توزیع‌ها:

/etc/redis/redis.conf

یا:

/etc/redis.conf

محدود کردن اتصال به Localhost

اگر Redis فقط توسط برنامه‌های همان سرور استفاده می‌شود:

bind 127.0.0.1 ::1

این تنظیم از دسترسی مستقیم سایر سیستم‌ها جلوگیری می‌کند.

غیرفعال کردن Protected Mode

اگر Redis روی اینترنت در دسترس نیست، بهتر است Protected Mode فعال باقی بماند:

protected-mode yes

این گزینه نباید بدون دلیل غیرفعال شود.

تنظیم رمز عبور

برای جلوگیری از دسترسی غیرمجاز:

requirepass PasswordTest

پس از اعمال تنظیمات، برای اتصال باید از رمز عبور استفاده کنید:

redis-cli -a PasswordTest

در نسخه‌های جدید Redis، استفاده از ACL به‌جای requirepass توصیه می‌شود.

استفاده از ACL

در Redis 6 و نسخه‌های جدید:

user default on >PasswordTest ~* +@all

یا مدیریت کاربران از طریق:

redis-cli ACL SETUSER

ACL امکان تعریف کاربران و سطح دسترسی مجزا را فراهم می‌کند.

غیرفعال کردن دستورات خطرناک

برای جلوگیری از سوءاستفاده، برخی دستورات مدیریتی را می‌توان غیرفعال یا تغییر نام داد.

نمونه:

rename-command FLUSHALL ""
rename-command FLUSHDB ""
rename-command CONFIG ""
rename-command SHUTDOWN ""

در این حالت، این دستورات قابل اجرا نخواهند بود.

محدود کردن دسترسی شبکه

اگر Redis فقط روی همان سرور استفاده می‌شود، پورت 6379 را روی فایروال ببندید.

نمونه با UFW:

sudo ufw deny 6379

استفاده از Unix Socket

به‌جای TCP می‌توانید از Unix Socket استفاده کنید:

unixsocket /run/redis/redis.sock

unixsocketperm 770

در این حالت اتصال فقط از طریق Socket انجام می‌شود.

بررسی دسترسی فایل Socket

فقط کاربران موردنیاز باید به فایل Socket دسترسی داشته باشند.

نمونه:

ls -l /run/redis/redis.sock

غیرفعال کردن اجرای Redis با کاربر Root

بررسی کاربر اجراکننده:

ps aux | grep redis

معمولاً باید مشابه زیر باشد:

redis redis-server

فعال کردن Persistence در صورت نیاز

در صورتی که داده‌ها باید پس از ریبوت حفظ شوند، یکی از روش‌های Persistence مانند RDB یا AOF را متناسب با نیاز خود فعال کنید.

بررسی لاگ‌ها

مسیر معمول لاگ:

/var/log/redis/redis-server.log

برای مشاهده:

sudo tail -f /var/log/redis/redis-server.log

بروزرسانی Redis

Ubuntu / Debian:

sudo apt update

sudo apt upgrade redis-server

AlmaLinux / Rocky Linux:

sudo dnf update redis

بررسی وضعیت سرویس

sudo systemctl status redis-server

در برخی توزیع‌ها:

sudo systemctl status redis

تست اتصال

اگر رمز عبور فعال شده باشد:

redis-cli -a PasswordTest ping

نمونه خروجی:

PONG

تست دسترسی از راه دور

بررسی کنید پورت Redis روی اینترنت باز نباشد.

ss -tulpn | grep 6379

در حالت ایده‌آل باید فقط روی 127.0.0.1 یا Socket گوش دهد.

بهترین روش‌ها

• Redis را همیشه بروزرسانی کنید.
• فقط روی Localhost یا Unix Socket اجرا کنید.
• برای دسترسی، رمز عبور یا ACL تعریف کنید.
• دستورات حساس را غیرفعال کنید.
• پورت 6379 را روی اینترنت باز نگذارید.
• لاگ‌های Redis را به‌صورت منظم بررسی کنید.
• Redis را با کاربر غیر Root اجرا کنید.

اشتباهات رایج

• باز بودن پورت 6379 روی اینترنت
• غیرفعال کردن Protected Mode بدون دلیل
• عدم استفاده از رمز عبور یا ACL
• اجرای Redis با کاربر Root
• فعال بودن دستورات مدیریتی مانند FLUSHALL
• استفاده از نسخه‌های قدیمی Redis

چک‌لیست

پس از Hardening، موارد زیر را بررسی کنید:

• Redis بروزرسانی شده است.
• اتصال فقط از Localhost یا Unix Socket انجام می‌شود.
• رمز عبور یا ACL فعال شده است.
• Protected Mode فعال است.
• دستورات خطرناک غیرفعال شده‌اند.
• Redis با کاربر غیر Root اجرا می‌شود.
• پورت 6379 فقط در صورت نیاز در دسترس است.
• لاگ‌های Redis بررسی می‌شوند.

جمع‌بندی

Hardening سرویس Redis یکی از مهم‌ترین اقدامات برای محافظت از داده‌های Cache و Session است. با محدود کردن دسترسی شبکه، فعال کردن احراز هویت، استفاده از ACL، غیرفعال کردن دستورات حساس، اجرای سرویس با کاربر غیر Root و بروزرسانی منظم، می‌توان احتمال دسترسی غیرمجاز و سوءاستفاده از Redis را به میزان قابل توجهی کاهش داد.

برای امنیت بیشتر، Redis را در کنار فایروال، مانیتورینگ لاگ‌ها و سایر اقدامات امنیتی سرور به‌کار بگیرید و از قرار دادن این سرویس به‌صورت مستقیم روی اینترنت خودداری کنید.

کیان پور