【入門編】セキュリティとハードニング – Redis

やあ。Redisの深淵へようこそ。
世界中の高負荷システムを支えるこの「超高速データ置き場」は、非常に強力な武器であると同時に、扱いを間違えれば諸刃の剣にもなり得る。

今日は、Redisを「ただ動くもの」から「鉄壁の要塞」へと進化させるための話をしよう。難しい技術用語はなるべく置いておいて、まずはRedisという仕組みを一緒に整理していこうか。

—

君が管理しているWebアプリが、たくさんのゲスト（ユーザー）を招くマンションだとしよう。Redisは、ゲストの好みを即座に記憶して提供する「超優秀なコンシェルジュ」だ。

しかし、このコンシェルジュはあまりに有能で、かつ「誰から何を頼まれても断らない」という少しお人好しな性格をしている。もし悪意ある人物がやってきて、「マンションの全記録を消去して！」と頼んだら、彼は忠実にそれを実行してしまうんだ。

そんな悲劇を防ぐための「セキュリティの鉄則」を、3つのステップで伝授するよ。

—

まずは、コンシェルジュが誰の指示に従うかを決める必要がある。これが「パスワード認証（AUTH）」だ。

設定ファイル（`redis.conf`）にこう書き込むだけで、門番が立ち上がる。

誰でも入れる状態を卒業する
requirepass “君だけの強固な合言葉をここに書く”

これだけで、合言葉を知らない奴はコンシェルジュに話しかけることすらできなくなる。まずはこれがスタートラインだ。

—

昔のRedisは「パスワードさえ合っていれば何でもOK」という大雑把な仕組みだった。しかし、今のRedisにはACL（アクセス制御リスト）という、現代的な権限管理がある。

例えば、「この人はデータの読み出しだけしていいけど、削除はダメ」といった細かいルールを作れるんだ。

「guest_user」は、GETコマンドだけ使えるようにする設定例
ACL SETUSER guest_user on >password123 +get

こうすれば、万が一パスワードが漏れても、被害を最小限に食い止めることができる。これがプロの守り方だよ。

—

Redisには、設定をその場で書き換えてしまうような「強力すぎるコマンド」がある。`CONFIG`コマンドなどがそうだ。日常業務で使うことはまずないのに、攻撃者にとっては「マンションの構造を好き勝手にいじれる魔法の鍵」になってしまう。

だから、使わないなら隠してしまおう。設定ファイルでこう書き換えるんだ。

危険なコマンドを「空の名前」に書き換えて無効化する
rename-command CONFIG “”
rename-command FLUSHALL “” # データを全消去するコマンドも封印しておくと安心だね

これで、もし誰かがコマンドを悪用しようとしても、「そんなコマンドは存在しない」とコンシェルジュが涼しい顔で返してくれるようになる。

—

最後に、最も根本的な話だ。どんなにセキュリティを固めても、玄関が公道に面していたら不安だろう？

Redisは基本的に「信頼できるアプリサーバーと同じ閉じたネットワーク（プライベートネットワーク）」の中にだけ置くべきだ。インターネットという広い世界に、Redisの玄関を直接公開してはいけない。

これだけで、攻撃のほとんどは物理的に不可能になる。まさに鉄壁だね。

—

ここまでクリアできれば、君のRedisはもう初心者レベルを遥かに超えた、堅牢な基盤になっているはずだ。

セキュリティとは、「完璧な鍵を一つ作る」ことではない。「多重に壁を作り、万が一の被害を最小限にする」という考え方だ。Redisという最高のコンシェルジュを、君の設計で最高のパートナーにしてやってくれ。

もしまた何か迷ったら、いつでも聞きに来るといい。エンジニアとしての旅路、応援しているよ。