เป็นหลายเดือนที่ทีมการศึกษา Redis ทำงานหนักสร้างหลักสูตรใหม่ครอบคลุม Redis security วันนี้ เรายินดีประกาศความพร้อมใช้งานทั่วไปของ RU330: Redis Security! หากคุณรัน Redis ใน production คุณควรสมัครแน่นอน
หากคุณต้องการเหตุผลเพิ่มเติม โปรดอ่านต่อ
ทำไมต้อง Redis Security?
เป็นความจริงสากลที่ฐานข้อมูลที่มีค่าต้องปลอดภpoir แต่คุณจะ ทำอย่างไร ให้ Redis ปลอดภัย? หากจะซื่อสัตย์ การพัฒนา Redis เน้น utility และ stability มากกว่า security ในช่วงแรก
แต่สิ่งนี้เปลี่ยนไปในไม่กี่ปีที่ผ่านมา โดยเฉพาะหลังปล่อย Redis 6 ตอนนี้ คุณสามารถนำหลักการ least privilege ไปใช้ได้โดยใช้ access control lists (ACLs) และรักษาความปลอดภัยการเชื่อมต่อ Redis โดยเปิดใช้งาน TLS (Transport Layer Security) encryption
สร้างบน momentum นี้ เราต้องการสร้างคู่มือที่สมบูรณ์ที่สุดสำหรับ Redis security และ RU330: Redis Security คือผลลัพธ์ของความพยายามนั้น
ใครคือผู้สอน? ทำไมคุณควรเรียน? และคุณจะเรียนอะไร?
ผู้สอนหลักสูตร
แนวคิด Redis Security เริ่มจาก Jamie Scott, Redis Product Manager ที่โฟกัส security พูดคุยกับลูกค้าทุกวันเกี่ยวกับ security Jamie מעורב עמוק בפיתוח תכונות אבטחה עבור Redis 6 open source, Redis Enterprise, ו-Redis Enterprise Cloud. אין ספק שג'יימי היה האדם המושלם להוביל את המאמץ הזה, וג'יימי הוא המורה הראשי ברוב קורס האבטחה.
ผมเป็น co-teacher ของ Jamie ในฐานะ software engineer มานาน technical author และผู้พัฒนา curriculum Redis University ที่มีประสบการณ์ ผมช่วย Jamie สร้างหลักสูตรที่หวังว่าน่าสนใจ ให้ข้อมูล และคุ้มค่ากับเวลาของคุณ
สิ่งที่คุณจะเรียนรู้
หลักสูตรของเราใช้แนวทาง holistic สำหรับการศึกษาด้านความปลอดภัย
ก่อนเจาะลึกหัวข้อ Redis-specific เราเริ่มจาก general security principles ที่ทุกคนควรรู้ เราครอบคลุมพื้นฐาน information security รวมถึง CIA triad (confidentiality, integrity, และ availability), defense in depth, และ principle of least privilege นี่วางเวทีสำหรับการทัวร์ basic security controls ของ Redis ต่อมาในหลักสูตร เราให้ introduction แบบละเอียดเกี่ยวกับ encryption และ public key cryptography ก่อนแสดงวิธี implement TLS ใน Redis deployment ของคุณอย่างแม่นยำ
ในการอธิบายเหตุผลเบื้องหลังฟีเจอร์ความปลอดภัยของ Redis เป้าหมายคือช่วยให้คุณตัดสินใจที่ดีที่สุดเมื่อไป production ตัวอย่างเช่น เราอยากให้คุณคิดดีๆ ว่าแอปพลิเคชันของคุณต้องการระดับการเข้าถึง Redis เพียงใด หากคุณรัน service ที่หน้าที่เดียวคือส่งคืน search queries ที่รันกับ RediSearch คุณจะต้องการสร้าง ACL user เฉพาะสำหรับ service นั้น ACL user ที่คุณกำหนดอาจดูอย่างนี้:
user searchservice on >secret +FT.SEARCH ~*
ACL directive นี้สร้าง user ที่สามารถรันคำสั่ง Redis ได้เพียงคำสั่งเดียว: FT.SEARCH ซึ่งสืบค้น RediSearch index นี่เป็น best practice เพราะลดความน่าจะเป็นที่แอปพลิเคชันของคุณจะทำลายหากถูกเจาะ ตัวอย่างเช่น แอปพลิเคชันของคุณจะไม่สามารถเรียก FLUSHDB ได้ ซึ่งเป็นคำสั่งที่จะลบข้อมูล Redis ทั้งหมดและอาจทำให้ผู้ใช้ไม่สบาย
Horror stories (เรื่องราวน่ากลัว)
คุณสามารถมองหลักสูตรนี้เป็นชุดเทคนิคเพื่อหลีกเลี่ยง Redis horror story จริงๆ เนื่องจาก Redis ถูกปรับใช้กว้างขวาง มันอาจเป็นเป้าหมายของ hackers (แบบไม่ดี) และ script kiddies เป็นแรงจูงใจ Jamie และผมมีไอเดียนำ Redis horror story มาแตกต่างกันทุกสัปดาห์ในหลักสูตร คุณจะได้เรียนรู้เกี่ยวกับ Redis exploits ที่ดัง และสิ่งที่อาจทำเพื่อหลีกเลี่ยงพวกเขา
Open source Redis
หลักสูตรนี้โฟกัสที่ open source Redis ดังนั้นจึงใช้ได้กว้างขวางกับผู้ใช้ Redis ส่วนใหญ่ บางครั้งเราจะระบุฟีเจอร์ของ Redis Enterprise หรือ Redis Enterprise Cloud ซึ่งคุณอาจต้องการเมื่อขยายการใช้ Redis ในองค์กรของคุณ แต่ Redis ทุ่มเทให้กับผู้ใช้ open source Redis เช่นเดียวกับหลักสูตร Redis University อื่นๆ หกคอร์สที่มีอยู่ اليوم
รักษาความปลอดภัย Redis deployments ของคุณ
คุณ สามารถ เรียนรู้ Redis security และคุณ สามารถ ขัดขวางผู้โจมตีส่วนใหญ่โดยตัดสินใจด้านความปลอดภัยที่ถูกต้อง RU330: Redis Security สอนคุณทั้งหมดนี้ รวมถึงหลายหลักการที่คุณสามารถนำไปใช้กับระบบใดก็ตามที่คุณต้องการรักษาความปลอดภัย
หลักสูตรเป็น instructor-paced ใช้เวลาสามสัปดาห์ พร้อมอีกหนึ่งสัปดาห์สำหรับ final exam ตลอดทาง ผมจะพร้อมใน Discord channel ของหลักสูตรตอบคำถามทั้งหมด หรือแค่พูด "Hi" เราหวังว่าคุณจะร่วมกัน!
