Vài tháng qua, đội ngũ giáo dục Redis đã làm việc chăm chỉ trên khóa học mới về bảo mật Redis. Hôm nay, chúng tôi vui mừng thông báo sự ra mắt chính thức của RU330: Redis Security! Nếu bạn chạy Redis trong môi trường production, chắc chắn bạn nên đăng ký ngay.
Nếu cần thêm lý do thuyết phục, hãy tiếp tục đọc.
Tại sao cần Redis Security?
Là sự thật chung rằng bất kỳ cơ sở dữ liệu nào đáng giá đều phải an toàn. Nhưng bạn bảo mật Redis như thế nào? Thú thực, giai đoạn phát triển sớm của Redis thường ưu tiên tiện ích và ổn định hơn bảo mật.
Tuy nhiên, điều đó đã thay đổi trong những năm gần đây, đặc biệt với việc phát hành Redis 6. Bây giờ bạn có thể triển khai nguyên tắc đặc quyền tối thiểu nhờ danh sách kiểm soát truy cập (ACLs), và bảo mật kết nối Redis bằng cách bật mã hóa TLS (Transport Layer Security).
Dựa trên đà phát triển đó, chúng tôi muốn tạo ra hướng dẫn xác thực về bảo mật Redis, và RU330: Redis Security chính là kết quả của nỗ lực đó.
Vậy ai là giảng viên? Tại sao bạn nên tham gia? Và bạn sẽ học được gì?
Giảng viên khóa học
Ý tưởng khóa học Redis Security bắt nguồn từ Jamie Scott, Product Manager của Redis tập trung vào bảo mật. Jamie trò chuyện hàng ngày với khách hàng về bảo mật, tham gia sâu vào phát triển tính năng bảo mật cho Redis 6 open source, Redis Enterprise và Redis Enterprise Cloud. Jamie là người lý tưởng để dẫn dắt nỗ lực này, và là giảng viên chính cho phần lớn khóa học.
Tôi là người đồng giảng cùng Jamie. Với vai trò kỹ sư phần mềm lâu năm, tác giả kỹ thuật và nhà phát triển chương trình đào tạo Redis University giàu kinh nghiệm, tôi đã giúp Jamie tạo ra khóa học hấp dẫn, đầy thông tin và đáng giá cho thời gian của bạn.
Bạn sẽ học được gì
Khóa học tiếp cận toàn diện cho giáo dục bảo mật.
Trước khi đi sâu vào chủ đề Redis cụ thể, chúng tôi bắt đầu với các nguyên tắc bảo mật chung mà ai cũng nên biết. Chúng tôi bao gồm cơ bản an toàn thông tin, bao gồm tam giác CIA (confidentiality - bảo mật, integrity - toàn vẹn, availability - sẵn sàng), defense in depth (phòng thủ đa lớp), và nguyên tắc đặc quyền tối thiểu. Điều này đặt bối cảnh cho bài tìm hiểu các điều khiển bảo mật cơ bản của Redis. Sau đó trong khóa học, chúng tôi cung cấp giới thiệu kỹ về mã hóa và mật mã khóa công khai trước khi chỉ cách triển khai TLS trong triển khai Redis của bạn.
Trong việc giải thích lý do đằng sau các tính năng bảo mật của Redis, mục tiêu là giúp bạn đưa ra quyết định tốt nhất khi đưa vào production. Ví dụ, chúng tôi muốn bạn suy nghĩ kỹ về mức độ truy cập Redis mà ứng dụng thực sự cần. Nếu bạn chạy dịch vụ chỉ thực hiện truy vấn tìm kiếm đối với RediSearch, bạn sẽ muốn tạo user ACL chuyên biệt cho dịch vụ đó. User ACL bạn định nghĩa có thể trông như sau:
user searchservice on >secret +FT.SEARCH ~*
Chỉ thị ACL này tạo user chỉ có thể chạy đúng một lệnh Redis: FT.SEARCH, truy vấn index RediSearch. Đây là thực hành tốt vì giảm thiểu rủi ro ứng dụng gây hại nếu bị xâm phạm. Ví dụ, ứng dụng không thể gọi FLUSHDB, lệnh xóa toàn bộ dữ liệu Redis và gây khó chịu cho người dùng.
Các câu chuyện kinh dị
Bạn có thể coi khóa học này như chuỗi kỹ thuật tránh các "câu chuyện kinh dị" về Redis. Vì Redis được triển khai rộng rãi, nó trở thành mục tiêu của hacker (loại xấu) và script kiddies. Để tạo động lực, Jamie và tôi có ý tưởng trình bày một câu chuyện kinh dị Redis mỗi tuần trong khóa học. Bạn sẽ học về các vụ khai thác Redis nổi tiếng và những gì có thể làm để tránh chúng.
Redis open source
Khóa học tập trung vào Redis open source, nên áp dụng rộng cho hầu hết người dùng Redis. Đôi khi chúng tôi chỉ ra tính năng của Redis Enterprise hoặc Redis Enterprise Cloud, có thể bạn cần khi mở rộng quy mô sử dụng Redis trong tổ chức. Nhưng Redis cam kết hoàn toàn với người dùng open source, nên chúng tôi nhấn mạnh Redis open source trong khóa học này, giống như 6 khóa học Redis University khác hiện có.
Bảo mật triển khai Redis của bạn
Bạn có thể học bảo mật Redis, và cũng có thể 저지 hầu hết kẻ tấn công bằng cách đưa ra quyết định bảo mật đúng đắn. RU330: Redis Security dạy bạn tất cả điều đó, cộng thêm nhiều nguyên tắc áp dụng cho bất kỳ hệ thống nào bạn cần bảo mật.
Khóa học do giảng viên dẫn dắt, kéo dài 3 tuần, thêm 1 tuần cho bài thi cuối khóa. Qua đó, tôi sẽ có mặt trong kênh Discord của khóa học để trả lời mọi câu hỏi hoặc chỉ chào hỏi. Chúng tôi hy vọng bạn sẽ tham gia!