设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 数据库 › [16852] 2021-05-31_等保2.0测评：Redis数据库配置 ...
返回列表 发新帖
查看: 0|回复: 0

[16852] 2021-05-31_等保2.0测评：Redis数据库配置

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-05-31_等保2.0测评：Redis数据库配置 等 保 2 . 0 测 评 ： R e d i s   数 据 库 配 置 原 创   等 保 不 好 做 啊   F r e e B u f   2 0 2 1 - 0 5 - 3 1 由 于 本 人 也 不 是 做 运 维 的 ， 这 个 R e d i s 数 据 库 是 一 个 缓 存 数 据 库 ， 具 体 怎 么 用 ， 在 项 目 中 怎 么 部 署 我 不 太 清 楚 ， 这 里 仅 针 对 于 等 保 的 测 评 要 求 ， 对 其 进 行 分 析 如 何 配 置 相 应 的 策 略 。 如 有 不 对 的 地 方 ， 欢 迎 指 正 哈 。 前 期 调 研 前 期 调 研 针 对 于 等 保 前 期 系 统 情 况 方 面 ， 这 里 我 们 要 了 解 的 是 数 据 库 的 版 本 。 查 看 数 据 库 版 本 ： 运 维 人 员 一 般 都 会 配 置 r e d i s 命 令 的 环 境 变 量 ， 如 果 下 面 命 令 不 行 就 用   f i n d   找 吧 ， 一 些 基 础 知 识 这 里 就 不 说 了 。 1 ） 服 务 器 本 地 查 看 ） 服 务 器 本 地 查 看 2 ） 登 录 到 数 据 库 内 查 询 ） 登 录 到 数 据 库 内 查 询 登 录 数 据 库 ： r e d i s - c l i   - h   1 2 7 . 0 . 0 . 1   - p   6 3 7 9         - h 后 面 跟 i p ， - p 跟 端 口 一 般 是 本 地 登 录 ， 直 接   r e d i s - c l i   即 可 登 录 ， 当 然 前 提 是 没 有 修 改 过 R e d i s 的 服 务 端 口 。 登 录 到 数 据 库 后 ， 我 们 输 入 ： i n f o 一 、 身 份 鉴 别 一 、 身 份 鉴 别 a ） 应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ， 身 份 标 识 具 有 唯 一 性 ， 身 份 鉴 别 信 息 具 有 复 杂 度 要 求 并 定 期 更 换 ） 应 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别 ， 身 份 标 识 具 有 唯 一 性 ， 身 份 鉴 别 信 息 具 有 复 杂 度 要 求 并 定 期 更 换 1 .   身 份 鉴 别 和 标 识 身 份 鉴 别 和 标 识 默 认 情 况 下 r e d i s 数 据 库 是 无 口 令 直 接 登 录 的 ： 直 接 输 入 r e d i s - c l i   即 可 登 录 r e d i s - s e r v e r   - v r e d i s - s e r v e r   - - v e r s i o n
所 以 我 们 要 查 看 r e d i s 配 置 文 件 ， 一 般 为 r e d i s . c o n f ， 在 r e d i s 主 目 录 下 查 看 r e q u i r e p a s s 参 数 是 否 不 为 注 释 状 态 ： 如 果 不 是 注 释 状 态 ， 如 上 图 ， 后 面 跟 着 的   * y @ 1 2 3   就 是 密 码 ， 是 明 文 存 储 的 。 如 果 设 置 过 口 令 ， 则 会 提 示 注 意 ： 这 里 没 有 用 户 的 概 念 ， 只 能 加 一 个 口 令 验 证 。 2 .   身 份 鉴 别 信 息 具 有 复 杂 度 并 定 期 更 改 身 份 鉴 别 信 息 具 有 复 杂 度 并 定 期 更 改 没 办 法 满 足 这 个 要 求 ， 无 口 令 复 杂 度 、 最 长 使 用 期 限 设 置 功 能 。 这 里 核 查 用 户 当 前 口 令 复 杂 度 是 否 满 足 要 求 。 扩 展 ： 扩 展 ： R e d i s   数 据 库 开 启 口 令 验 证 数 据 库 开 启 口 令 验 证 1 ） 通 过 配 置 文 件 进 行 配 置 ） 通 过 配 置 文 件 进 行 配 置 在   r e d i s . c o n f   中 找 到   r e q u i r e p a s s   f o o b a r e d 参 数 取 消 r e q u i r e p a s s 前 面 的 注 释 ， 并 将 将 f o o b a r e d 改 成 相 应 密 码 ， 然 后 重 启 数 据 库 即 可 再 尝 试 登 录 ， 此 时 可 以 连 接 ， 但 无 法 执 行 一 些 相 关 命 令
需 要 使 用 a u t h   p a s s w o r d 命 令 进 行 登 录 或 者 使 用   r e d i s - c l i   - h   1 2 7 . 0 . 0 . 1   - p   6 3 7 9   - a   “ m y p a s s ”   进 行 登 录 （ 不 建 议 使 用 ） 因 为 这 样 明 文 密 码 会 留 存 到   h i s t o r y   里 面 ， 不 安 全 。 2 ） 通 过 命 令 行 配 置 （ 临 时 ） ） 通 过 命 令 行 配 置 （ 临 时 ） 然 后 尝 试 配 置 文 件 中 配 置 的 老 密 码 登 录 r e d i s ， 会 发 现 原 来 的 不 可 用 ， 被 拒 绝 但 是 再 重 启 r e d i s 后 ， 将 会 引 用 配 置 文 件 中 的 口 令 b ） 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 ） 应 具 有 登 录 失 败 处 理 功 能 ， 应 配 置 并 启 用 结 束 会 话 、 限 制 非 法 登 录 次 数 和 当 登 录 连 接 超 时 自 动 退 出 等 相 关 措 施 1 .   登 录 失 败 处 理 功 能 登 录 失 败 处 理 功 能 没 有 这 个 功 能 ， 询 问 管 理 人 员 是 否 有 第 三 方 措 施 。 c o n f i g   s e t   r e q u i r e p a s s   * * * y @ 1 2 3 4 c o n f i g   g e t   r e q u i r e p a s s
默 认 不 符 合 。 2 .   操 作 超 时 自 动 退 出 功 能 操 作 超 时 自 动 退 出 功 能 查 看 r e d i s 配 置 文 件 ， 一 般 为 r e d i s . c o n f ， 在 r e d i s 主 目 录 下 查 看 t i m e o u t 的 值 ， 默 认 为 0 永 不 退 出 这 里 设 置 的 就 是 ， 1 2 0 秒 退 出 后 要 求 重 新 进 行 身 份 鉴 别 。 超 过 这 个 时 间 它 就 要 求 重 新 进 行 身 份 鉴 别 了 。 c ） 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 ） 当 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 默 认 情 况 下 ： 抓 包 出 来 是 明 文 传 输 的
这 个 要 去 询 问 管 理 人 员 是 否 做 了 相 关 措 施 防 止 鉴 别 信 息 在 传 输 过 程 中 被 窃 听 。 默 认 不 符 合 。 d ） 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 ） 应 采 用 口 令 、 密 码 技 术 、 生 物 技 术 等 两 种 或 两 种 以 上 组 合 的 鉴 别 技 术 对 用 户 进 行 身 份 鉴 别 ， 且 其 中 一 种 鉴 别 技 术 至 少 应 使 用 密 码 技 术 来 实 现 术 至 少 应 使 用 密 码 技 术 来 实 现 这 个 一 般 不 会 去 做 ， 我 们 只 要 现 场 核 查 它 是 否 使 用 了 双 因 素 认 证 就 行 了 。 二 、 访 问 控 制 二 、 访 问 控 制 由 于 R e d i s 数 据 库 没 有 用 户 这 个 概 念 ， 通 过 单 一 的 口 令 验 证 就 可 以 登 录 ， 拥 有 所 有 权 限 ， 所 以 针 对 访 问 控 制 这 个 控 制 点 ， 有 些 是 判 不 适 用 ， 有 些 是 判 不 符 合 的 ， 这 个 我 觉 得 可 以 根 据 机 构 自 己 的 要 求 来 进 行 判 断 ， 毕 竟 目 前 没 有 一 个 统 一 的 标 准 。 a ） 应 对 登 录 的 用 户 分 配 账 户 和 权 限 ） 应 对 登 录 的 用 户 分 配 账 户 和 权 限 无 用 户 概 念 ， 通 过 口 令 验 证 ， 拥 有 所 有 权 限 。 b ） 应 重 命 名 或 删 除 默 认 账 户 ， 修 改 默 认 账 户 的 默 认 口 令 ） 应 重 命 名 或 删 除 默 认 账 户 ， 修 改 默 认 账 户 的 默 认 口 令 无 默 认 账 户 存 在 。 不 适 用 c ） 应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 ） 应 及 时 删 除 或 停 用 多 余 的 、 过 期 的 账 户 ， 避 免 共 享 账 户 的 存 在 无 账 户 概 念 。 d ） 应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 ） 应 授 予 管 理 用 户 所 需 的 最 小 权 限 ， 实 现 管 理 用 户 的 权 限 分 离 无 法 分 权 ， 做 不 到 。 e ） 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 ） 应 由 授 权 主 体 配 置 访 问 控 制 策 略 ， 访 问 控 制 策 略 规 定 主 体 对 客 体 的 访 问 规 则 无 授 权 主 体 。 f ） 访 问 控 制 的 粒 度 应 达 到 主 体 为 用 户 级 或 进 程 级 ， 客 体 为 文 件 、 数 据 库 表 级 ） 访 问 控 制 的 粒 度 应 达 到 主 体 为 用 户 级 或 进 程 级 ， 客 体 为 文 件 、 数 据 库 表 级 无 用 户 概 念 。
g ） 应 对 重 要 主 体 和 客 体 设 置 安 全 标 记 ， 并 控 制 主 体 对 有 安 全 标 记 信 息 资 源 的 访 问 ） 应 对 重 要 主 体 和 客 体 设 置 安 全 标 记 ， 并 控 制 主 体 对 有 安 全 标 记 信 息 资 源 的 访 问 做 不 到 。 三 、 安 全 审 计 三 、 安 全 审 计 a ） 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 ） 应 启 用 安 全 审 计 功 能 ， 审 计 覆 盖 到 每 个 用 户 ， 对 重 要 的 用 户 行 为 和 重 要 安 全 事 件 进 行 审 计 查 看 r e d i s 配 置 文 件 ， 一 般 为 r e d i s . c o n f ， 在 r e d i s 主 目 录 下 查 看 l o g l e v e l 、 l o g f i l e 参 数 ， 我 安 装 的 该 版 本 默 认 情 况 下 ： r e d i s 支 持 通 过 l o g l e v e l 配 置 项 设 置 日 志 等 级 ， 共 分 四 级 ， 即 d e b u g 、 v e r b o s e 、 n o t i c e 、 w a r n i n g 。 r e d i s 也 支 持 通 过 l o g f i l e 配 置 项 来 设 置 日 志 文 件 的 生 成 位 置 。 如 果 设 置 为 空 字 符 串 ， 则 r e d i s 会 将 日 志 输 出 到 标 准 输 出 ， 日 志 将 会 发 送 给 / d e v / n u l l 。 这 里 我 们 配 置 一 下 ， 将 日 志 输 出 到 如 下 文 件 中 。 重 启 后 ， 日 志 就 会 写 入 到 这 个 文 件 中 所 以 这 里 我 们 要 确 定 两 个 参 数 ： l o g l e v e l 、 l o g f i l e 。 且 l o g f i l e 必 须 要 配 置 ， 因 为 不 配 置 就 不 会 留 存 对 应 的 日 志 了 。 b ） 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 ） 审 计 记 录 应 包 括 事 件 的 日 期 和 时 间 、 用 户 、 事 件 类 型 、 事 件 是 否 成 功 及 其 他 与 审 计 相 关 的 信 息 默 认 符 合 ， 日 志 时 间 跟 随 系 统 时 间 。 比 如 我 刚 重 启 了 数 据 库 ， 就 会 产 生 对 应 日 志 。 c ） 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 ） 应 对 审 计 记 录 进 行 保 护 ， 定 期 备 份 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 存 储 在 操 作 系 统 上 的 日 志 文 件 权 限 ， 不 得 超 过 6 4 4 ， 默 认 不 删 应 该 永 久 保 存 。
定 期 备 份 问 题 ， 询 问 管 理 人 员 是 否 有 做 即 可 。 d ） 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 ） 应 对 审 计 进 程 进 行 保 护 ， 防 止 未 经 授 权 的 中 断 默 认 符 合 。 无 法 中 断 日 志 文 件 输 出 ， 但 是 可 以 修 改 日 志 记 录 等 级 。 四 、 入 侵 防 范 四 、 入 侵 防 范 以 下 条 款 为 ： 不 适 用 a ） 应 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 b ） 应 关 闭 不 需 要 的 系 统 服 务 、 默 认 共 享 和 高 危 端 口 d ） 应 提 供 数 据 有 效 性 检 验 功 能 ， 保 证 通 过 人 机 接 口 输 入 或 通 过 通 信 接 口 输 入 的 内 容 符 合 系 统 设 定 要 求 f ） 应 能 够 检 测 到 对 重 要 节 点 进 行 入 侵 的 行 为 ， 并 在 发 生 严 重 入 侵 事 件 时 提 供 报 警 涉 及 到 的 ： c ） 应 通 过 设 定 终 端 接 入 方 式 或 网 络 地 址 范 围 对 通 过 网 络 进 行 管 理 的 管 理 终 端 进 行 限 制 ） 应 通 过 设 定 终 端 接 入 方 式 或 网 络 地 址 范 围 对 通 过 网 络 进 行 管 理 的 管 理 终 端 进 行 限 制 找 到 r e d i s 的 配 置 文 件 ， 一 般 为 r e d i s . c o n f ， 可 以 先 找 N E T W O R K ， 下 面 会 有 个 b i n d 注 释 情 况 下 为 任 意 I P 访 问 ， 可 设 置 指 定   I P ， 以 空 格 分 割 。 这 里 只 要 看 b i n d 后 面 跟 的 i p 地 址 即 可 。 e ） 应 能 发 现 可 能 存 在 的 已 知 漏 洞 ， 并 在 经 过 充 分 测 试 评 估 后 ， 及 时 修 补 漏 洞 ） 应 能 发 现 可 能 存 在 的 已 知 漏 洞 ， 并 在 经 过 充 分 测 试 评 估 后 ， 及 时 修 补 漏 洞
这 条 就 结 合 漏 扫 、 测 试 等 方 法 进 行 判 断 ， r e d i s 这 玩 意 可 是 出 了 名 的 漏 洞 多 。 。 像 非 授 权 访 问 漏 洞 ， 本 地 也 测 试 过 能 成 功 ， 这 里 就 不 细 说 了 ， 交 给 渗 透 工 程 师 去 看 吧 ， 然 后 我 们 等 保 的 拿 他 们 的 报 告 确 认 是 否 存 在 对 应 漏 洞 即 可 。 五 、 数 据 完 整 性 五 、 数 据 完 整 性 针 对 这 个 数 据 库 ， 下 面 两 条 默 认 都 是 不 符 合 。 询 问 管 理 人 员 是 否 做 了 相 关 措 施 来 保 证 数 据 的 完 整 性 。 a ） 应 采 用 校 验 技 术 或 密 码 技 术 保 证 重 要 数 据 在 传 输 过 程 中 的 完 整 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 、 重 要 审 计 数 据 、 重 要 配 置 数 据 、 重 要 视 频 数 据 和 重 要 个 人 信 息 等 b ） 应 采 用 校 验 技 术 或 密 码 技 术 保 证 重 要 数 据 在 存 储 过 程 中 的 完 整 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 、 重 要 审 计 数 据 、 重 要 配 置 数 据 、 重 要 视 频 数 据 和 重 要 个 人 信 息 等 六 、 数 据 保 密 性 六 、 数 据 保 密 性 这 个 保 密 性 同 理 ， 针 对 这 个 数 据 库 ， 下 面 两 条 默 认 都 是 不 符 合 。 询 问 管 理 人 员 是 否 做 了 相 关 措 施 来 保 证 数 据 的 保 密 性 。 a ） 应 采 用 密 码 技 术 保 证 重 要 数 据 在 传 输 过 程 中 的 保 密 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 和 重 要 个 人 信 息 等 b ） 应 采 用 密 码 技 术 保 证 重 要 数 据 在 存 储 过 程 中 的 保 密 性 ， 包 括 但 不 限 于 鉴 别 数 据 、 重 要 业 务 数 据 和 重 要 个 人 信 息 等 七 、 数 据 备 份 恢 复 七 、 数 据 备 份 恢 复 a )   应 提 供 重 要 数 据 的 本 地 数 据 备 份 与 恢 复 功 能 应 提 供 重 要 数 据 的 本 地 数 据 备 份 与 恢 复 功 能 这 个 没 啥 好 说 的 ， 直 接 去 问 管 理 人 员 备 份 怎 么 做 的 ， 是 否 有 措 施 保 证 备 份 数 据 有 效 （ 有 测 试 记 录 即 可 ） 。 b ） 应 提 供 异 地 实 时 备 份 功 能 ， 利 用 通 信 网 络 将 重 要 数 据 实 时 备 份 至 备 份 场 地 ） 应 提 供 异 地 实 时 备 份 功 能 ， 利 用 通 信 网 络 将 重 要 数 据 实 时 备 份 至 备 份 场 地 询 问 管 理 员 c ） 应 提 供 重 要 数 据 处 理 系 统 的 热 冗 余 ， 保 证 系 统 的 高 可 用 性 ） 应 提 供 重 要 数 据 处 理 系 统 的 热 冗 余 ， 保 证 系 统 的 高 可 用 性 这 个 根 据 实 际 情 况 来 看 ， 是 否 有 热 冗 余 的 必 要 性 。 没 有 个 人 认 为 可 判 不 适 用 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:20 , Processed in 0.804862 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表