Hardening de segurança do Redis / Valkey (ACL, TLS, comandos perigosos)

Não é instalação nem operação diária: runbook por cenários para endurecer, sem indisponibilidade, um Redis ou Valkey em execução (servidor único, replica + Sentinel ou Cluster). Auditoria de segurança somente leitura, usuários ACL e desativação do usuário default, requirepass/masterauth, bind e protected-mode, protected configs contra abuso de CONFIG/DEBUG/MODULE, migração para TLS (cliente, replicação, Sentinel, cluster bus) em funcionamento e permissões de arquivos; ao final, a auditoria é repetida e mostra que os riscos foram fechados. Em sistemas instalados com os guias de instalação do DBAtlas já existem senha e firewall restrito: comece pela auditoria e aplique apenas os cenários que derem RISK/WARN. Backup e operação diária estão em guias Redis separados.

Topologia: Servidor único, master + replica + Sentinel ou Redis Cluster

Cenários

• Auditoria do estado de segurança (somente leitura) — Não altera nada. Acesso sem senha, usuário default, endereços em escuta, protected-mode, comandos perigosos, TLS, senha do Sentinel e permissões de arquivos são relatados como OK / WARN / RISK. Escolha esta opção se não souber por onde começar.
• Hardening completo (tudo em sequência) — Auditoria → usuários ACL (administrador, aplicação, replicação, Sentinel) e desativação do usuário default → bind/protected-mode/firewall → comandos perigosos e protected configs → TLS → permissões de arquivos → auditoria final. Em replica/Sentinel é rolling; passos arriscados pedem confirmação.
• Usuários ACL e desativação do usuário default (Redis 6+) — Todos se conectam com uma única senha (ou sem senha) como usuário default. São criados usuários separados para administrador, aplicação (apenas as próprias keys, sem comandos perigosos), replicação e Sentinel, gravados no aclfile; quando as aplicações migrarem, o default é desativado.
• Redis sem senha: requirepass / masterauth (medida rápida) — Não há senha nenhuma e não há tempo para migrar para ACL. Uma senha comum a todos os nodes (requirepass + masterauth para a replicação, auth-pass no Sentinel) é definida em funcionamento; as aplicações não conseguem mais se conectar sem senha.
• Restringir o acesso de rede (bind 0.0.0.0, protected-mode, firewall) — O Redis escuta em todas as interfaces ou está com protected-mode no. O bind é reduzido a localhost + IP interno, o protected-mode é ativado e o firewall só permite os nodes e a rede da aplicação. Aplicado em funcionamento, sem derrubar as conexões existentes; é o passo que reduz o risco mais rapidamente.
• Comandos perigosos e abuso de CONFIG (FLUSHALL, CONFIG, DEBUG, MODULE) — Contra o abuso de gravação de arquivos no servidor (chave SSH, cron) com CONFIG SET dir/dbfilename e contra FLUSHALL/DEBUG/MODULE LOAD: enable-protected-configs, enable-debug-command e enable-module-command ficam desativados, @dangerous é retirado das aplicações; em versões antigas, rename-command.
• Criptografar as conexões: TLS (cliente, replicação, Sentinel, cluster bus) — O tráfego não é criptografado. A porta TLS é aberta em funcionamento ao lado da porta atual, a replicação e o Sentinel passam para TLS e, quando as aplicações migrarem, a porta sem criptografia é fechada (port 0).
• Permissões de arquivos e usuário de execução — O redis.conf (contém senhas), o arquivo ACL, os arquivos RDB/AOF e de log podem ser lidos por outros usuários, ou o Redis roda como root. As permissões passam a 640/750 e o dono passa a ser o usuário do serviço.

Antes de começar

• root/sudo em todos os nodes; SSH do primeiro node para os demais (cópia do arquivo de senhas e dos certificados).
• Redis 6.2+ ou Valkey 7.2+ (6.0+ para ACL, 7.0+ para protected configs).
• Replicação… e Sentinel… saudáveis; operações rolling não são feitas em topologia não saudável.
• Lista de aplicações e versões das bibliotecas cliente: para ACL, usuário + senha (cliente Redis 6+); para TLS, suporte a rediss://; clientes que usam Sentinel precisam de suporte a senha e TLS do Sentinel.
• openssl instalado (geração de senhas e certificados).

Fases do guia

• Preparação: rede de segurança e ferramentas auxiliares — Backup da configuração e da ACL · Gravar as ferramentas auxiliares (dbatlas-rconf, dbatlas-rcli, dbatlas-redis-restart) · Gravar a senha de administrador em um arquivo temporário
• Auditoria de estado (somente leitura) — Relatório de segurança: … · Relatório do Sentinel: … · Relacionar os achados aos cenários
• Senha: requirepass e masterauth (em funcionamento) — Definir a senha comum: … · masterauth: … · auth-pass do Sentinel: … · requirepass: … · Senha no Sentinel: … · A replicação e o Sentinel estão saudáveis …
• ACL: diagnóstico e senhas dos usuários — Diagnóstico: quem está conectado com qual usuário? · Gerar as senhas dos usuários internos · Copiar o arquivo de senhas para os outros nodes
• ACL: desativar o usuário default — Ainda há clientes conectados como default: … · Desativar o usuário default: … · Validar: acesso sem autenticação, privilégios da aplicação, replicação · Senha no Sentinel: …
• Acesso de rede: firewall — Regras de firewall
• Comandos perigosos: diagnóstico — Protected configs e comandos debug/module: …
• Comandos perigosos: validação — CONFIG SET dir e DEBUG são recusados: …
• TLS: certificados — Suporte a TLS: … · Gerar a CA interna e os certificados dos servidores · Distribuir os certificados · Permissões dos certificados: …
• TLS · Cluster bus e replicação (janela de manutenção, todos os nodes juntos) — Fixar a porta do bus, gravar tls-cluster e tls-replication no arquivo: … · Parar: … · Iniciar: … · O cluster e a replicação estão sobre TLS
• TLS: validação e fechamento da porta sem criptografia — A replicação… e o Sentinel… estão sobre TLS · Fechar a porta sem criptografia: … · A conexão sem criptografia é recusada: …
• Permissões de arquivos e usuário de execução — Corrigir as permissões: …
• Auditoria final (após o hardening) — Relatório de segurança: … (estado final) · Relatório do Sentinel: … (estado final)
• Limpeza e próximos passos — Apagar os arquivos temporários de senha · Depois: monitoramento e tarefas periódicas