正確的使用DCS提供的訪問控制能力，可以有效預(yù)防您的數(shù)據(jù)被異常竊取或者損壞。
-
白名單/安全組
-
權(quán)限管理對不同角色的IAM用戶僅設(shè)置最小權(quán)限，避免權(quán)限過大導(dǎo)致數(shù)據(jù)泄露或被誤操作。
為了更好的進(jìn)行權(quán)限隔離和管理，建議您配置獨立的IAM管理員，授予IAM管理員IAM策略的管理權(quán)限。
IAM管理員可以根據(jù)您業(yè)務(wù)的實際訴求創(chuàng)建不同的用戶組，用戶組對應(yīng)不同的數(shù)據(jù)訪問場景，通過將用戶添加到用戶組并將IAM策略綁定到對應(yīng)用戶組，IAM管理員可以為不同職能部門的員工按照最小權(quán)限原則授予不同的數(shù)據(jù)訪問權(quán)限。
-
命令重命名建議不使用高危命令，避免攻擊者直接對Redis進(jìn)行嚴(yán)重性損壞。
為避免攻擊者直接對Redis進(jìn)行嚴(yán)重性損壞，如果業(yè)務(wù)沒有使用場景，建議通過命令重命名的方式對其進(jìn)行禁用。
-
自定義端口建議使用非默認(rèn)端口，避免端口被掃描攻擊。
Redis Server的端口默認(rèn)為6379，容易被掃描攻擊，建議將端口設(shè)置為非默認(rèn)端口。支持修改的端口范圍：1~65535之間的其它端口號。
-
密碼訪問建議將訪問緩存實例方式設(shè)置為密碼訪問，防止未經(jīng)認(rèn)證的客戶端誤操作實例。
分布式緩存服務(wù)支持在購買Redis實例時進(jìn)行設(shè)置訪問密碼，也可以對已創(chuàng)建的免密實例進(jìn)行密碼重置。
-
SSL傳輸加密為了確保數(shù)據(jù)傳輸過程中不被竊取和損壞，建議使用SSL鏈路傳輸加密方式訪問Redis。
目前分布式緩存服務(wù)Redis 6.0基礎(chǔ)版實例已支持SSL鏈路傳輸加密，建議優(yōu)先選擇Redis 6.0基礎(chǔ)版實例，并啟用SSL功能。
-
備份與恢復(fù)
-
跨AZ容災(zāi)建議使用跨AZ復(fù)制構(gòu)建數(shù)據(jù)容災(zāi)能力。
分布式緩存服務(wù)的主備和集群實例支持部署高可用實例，租戶可選擇在單可用區(qū)或多可用區(qū)中部署實例。
當(dāng)租戶選擇跨AZ實例時，緩存實例會主動建立和維護(hù)Redis同步復(fù)制。在實例主節(jié)點故障的情況下，緩存實例會自動將備實例升為主節(jié)點，從而達(dá)到高可用的目的。
通過訪問控制，保護(hù)數(shù)據(jù)安全性
正確的使用DCS提供的訪問控制能力，可以有效預(yù)防您的數(shù)據(jù)被異常竊取或者損壞。
對不同角色的IAM用戶僅設(shè)置最小權(quán)限，避免權(quán)限過大導(dǎo)致數(shù)據(jù)泄露或被誤操作。
為了更好的進(jìn)行權(quán)限隔離和管理，建議您配置獨立的IAM管理員，授予IAM管理員IAM策略的管理權(quán)限。
IAM管理員可以根據(jù)您業(yè)務(wù)的實際訴求創(chuàng)建不同的用戶組，用戶組對應(yīng)不同的數(shù)據(jù)訪問場景，通過將用戶添加到用戶組并將IAM策略綁定到對應(yīng)用戶組，IAM管理員可以為不同職能部門的員工按照最小權(quán)限原則授予不同的數(shù)據(jù)訪問權(quán)限。
建議不使用高危命令，避免攻擊者直接對Redis進(jìn)行嚴(yán)重性損壞。
為避免攻擊者直接對Redis進(jìn)行嚴(yán)重性損壞，如果業(yè)務(wù)沒有使用場景，建議通過命令重命名的方式對其進(jìn)行禁用。
建議使用非默認(rèn)端口，避免端口被掃描攻擊。
Redis Server的端口默認(rèn)為6379，容易被掃描攻擊，建議將端口設(shè)置為非默認(rèn)端口。支持修改的端口范圍：1~65535之間的其它端口號。
建議將訪問緩存實例方式設(shè)置為密碼訪問，防止未經(jīng)認(rèn)證的客戶端誤操作實例。
分布式緩存服務(wù)支持在購買Redis實例時進(jìn)行設(shè)置訪問密碼，也可以對已創(chuàng)建的免密實例進(jìn)行密碼重置。
為了確保數(shù)據(jù)傳輸過程中不被竊取和損壞，建議使用SSL鏈路傳輸加密方式訪問Redis。
目前分布式緩存服務(wù)Redis 6.0基礎(chǔ)版實例已支持SSL鏈路傳輸加密，建議優(yōu)先選擇Redis 6.0基礎(chǔ)版實例，并啟用SSL功能。
建議使用跨AZ復(fù)制構(gòu)建數(shù)據(jù)容災(zāi)能力。
分布式緩存服務(wù)的主備和集群實例支持部署高可用實例，租戶可選擇在單可用區(qū)或多可用區(qū)中部署實例。
當(dāng)租戶選擇跨AZ實例時，緩存實例會主動建立和維護(hù)Redis同步復(fù)制。在實例主節(jié)點故障的情況下，緩存實例會自動將備實例升為主節(jié)點，從而達(dá)到高可用的目的。
審計是否存在異常數(shù)據(jù)訪問
開啟云審計服務(wù)，記錄DCS的所有訪問操作，便于事后審查。
云審計服務(wù)（Cloud Trace Service，CTS），是華為云安全解決方案中專業(yè)的日志審計服務(wù)，提供對各種云資源操作記錄的收集、存儲和查詢功能，可用于支撐安全分析、合規(guī)審計、資源跟蹤和問題定位等常見應(yīng)用場景。
您開通云審計服務(wù)并創(chuàng)建和配置追蹤器后，CTS可記錄DCS的管理事件和數(shù)據(jù)事件用于審計。云審計服務(wù)支持的關(guān)鍵操作
使用云監(jiān)控服務(wù)對安全事件進(jìn)行實時監(jiān)控和告警。
您在使用分布式緩存服務(wù)的過程中會也可能會遇到服務(wù)端返回的錯誤響應(yīng)，為使您更好地掌握分布式緩存服務(wù)的實例狀態(tài)，華為云提供了云監(jiān)控服務(wù)（Cloud Eye）。您可使用該服務(wù)監(jiān)控自己的緩存實例，執(zhí)行自動實時監(jiān)控、告警和通知操作，幫助您實時掌握緩存實例中所產(chǎn)生的請求、流量和錯誤響應(yīng)等信息。
云監(jiān)控服務(wù)不需要開通，會在用戶創(chuàng)建緩存實例后自動啟動。
通過其他云服務(wù)進(jìn)一步增強(qiáng)對數(shù)據(jù)的安全防護(hù)
啟用安全云腦服務(wù)（SecMaster）保障DCS資源安全
安全云腦通過“安全上云合規(guī)檢查1.0”、“等保2.0三級要求”、“護(hù)網(wǎng)檢查”三種基線規(guī)則，檢測DCS關(guān)鍵配置項，告警提示存在安全隱患的配置，并提供相應(yīng)配置加固建議和幫助指導(dǎo)。您可以通過態(tài)勢感知的資源管理功能，快速了解到DCS安全狀況等信息，幫助您定位安全風(fēng)險問題。