RedisセキュリティコースがRedis大学で公開されました

過去数か月間、Redis教育チームはRedisのセキュリティをカバーする新しいコースに懸命に取り組んできました。本日、RU330：RedisSecurityの一般提供を発表できることをうれしく思います。本番環境でRedisを実行している場合は、必ずサインアップする必要があります。

さらに説得力が必要な場合は、読み進めてください。

なぜRedisセキュリティなのか

その塩に値するデータベースは安全でなければならないというのは普遍的な真実です。しかし、どのように Redisを保護しますか？正直なところ、Redisの初期の開発では、一般的にセキュリティよりもユーティリティと安定性が優先されていました。

ただし、これは近年、特にRedis 6のリリースで変更されました。これで、アクセス制御リスト（ACL）を利用して最小特権の原則を実装でき、TLS（Transport Layer）を有効にしてRedis接続を保護できます。セキュリティ）暗号化。

この勢いに基づいて、Redisセキュリティの決定的なガイドを作成したいと考えました。RU330：Redisセキュリティはその取り組みの成果です。

では、誰がこのコースを教えているのでしょうか。なぜあなたはそれを取る必要がありますか？そして、あなたは何を学ぶつもりですか？

コースインストラクター

Redis Securityのアイデアは、セキュリティに焦点を当てたRedisプロダクトマネージャーであるJamieScottから始まりました。 Jamieは、セキュリティについてお客様と毎日話し合い、オープンソースのRedis 6、Redis Enterprise、およびRedisEnterpriseCloudのセキュリティ機能の開発に深く関わってきました。言うまでもなく、ジェイミーはこの取り組みを主導するのに最適な人物であり、ジェイミーはほとんどのセキュリティコースの主任教師です。

私はジェイミーの副担任です。長年のソフトウェアエンジニア、テクニカルライター、経験豊富なRedis大学のカリキュラム開発者として、私はジェイミーがあなたの時間に見合う魅力的で有益なコースを作成するのを手伝ってきました。

学習する内容

私たちのコースは、セキュリティ教育に全体的なアプローチを取ります。

Redis固有のトピックを掘り下げる前に、誰もが知っておくべき一般的なセキュリティ原則から始めます。 CIAトライアド（機密性、整合性、可用性）、多層防御、最小特権の原則など、情報セキュリティの基本について説明します。これにより、Redisの基本的なセキュリティ管理のツアーの準備が整います。コースの後半では、RedisデプロイメントにTLSを実装する方法を正確に示す前に、暗号化と公開鍵暗号化について詳しく説明します。

Redisのセキュリティ機能の背後にある理由を説明するにあたり、私たちの目標は、本番環境に移行するときに最善の決定を下せるようにすることです。たとえば、アプリケーションに実際に必要なRedisアクセスのレベルについてよく考えてもらいたいと思います。 RediSearchに対して実行された検索クエリを返すことが唯一の仕事であるサービスを実行している場合は、そのサービスに特定のACLユーザーを作成する必要があります。定義するACLユーザーは次のようになります。

user searchservice on >secret +FT.SEARCH ~*のユーザー検索サービス

このACLディレクティブは、 FT.SEARCHという1つのRedisコマンドを実行できるユーザーを作成します。 、RediSearchインデックスを照会します。これは、アプリケーションが危険にさらされた場合にアプリケーションが損傷を与える可能性を減らすため、良い習慣です。たとえば、アプリケーションは FLUSHDBを呼び出すことができません 、すべてのRedisデータを削除し、ユーザーに不快感を与える可能性のあるコマンド。

ホラーストーリー

このコースは、Redisのホラーストーリーを回避するための一連のテクニックと考えることができます。実際、Redisは非常に広く展開されているため、ハッカー（悪い種類）やスクリプトキディの標的になる可能性があります。一種の動機として、ジェイミーと私は、コースで毎週異なるRedisホラーストーリーを特集することを考えました。悪名高いRedisのエクスプロイトと、それらを回避するために何が行われた可能性があるかについて学習します。

オープンソースのRedis

このコースはオープンソースのRedisに焦点を当てているため、ほとんどのRedisユーザーに広く適用できます。時折、RedisEnterpriseまたはRedisEnterprise Cloudの機能を指摘することがあります。これらの機能は、組織内のRedisでの使用を拡大するときに必要になる場合があります。ただし、RedisはオープンソースのRedisユーザーにも全力で取り組んでいるため、このコースでは、現在利用可能な他の6つのRedis大学コースと同様にオープンソースのRedisを強調しています。

Redisのデプロイを保護する

できます Redisのセキュリティを学び、適切なセキュリティ上の決定を行うことで、ほとんどの攻撃者を阻止することもできます。 RU330：Redis Securityは、これらすべてに加えて、セキュリティで保護する必要のあるすべてのシステムに適用できるいくつかの原則を教えてくれます。

コースはインストラクターのペースで3週間続き、最終試験はあと1週間です。途中で、Discordチャンネルのコースで、すべての質問に答えたり、「こんにちは」と言ったりすることができます。ぜひご参加ください。