【摘要】 GaussDB（for Redis）安全性功能体验

1.GaussDB 数据库介绍

高斯，德语：Gauß;  ，英语：Gauss。高斯的生平是 1777 年—1855。大概是中国清朝乾隆四十二年到咸丰五年。他和阿基米德、艾萨克·牛顿并称世界公认的三大著名数学家。高斯被认为是历史上最重要的数学家之一，并享有“数学王子”之称，是微分几何学的始祖（高斯、雅诺斯、罗巴切夫斯基）之一。

2019 年 5 月 15 日，华为用大数学家高斯的名字正式面向全球推出了 GaussDB 数据库。我们在开源的选择中已经有了 mysql 等数据库，那华为推出的 GaussDB 又解决了哪些 mysql 类数据库没有解决的问题呢。我们通过华为自己的定位可以看到，华为将 GaussDB 定位于 AI-Native 数据库而非 Cloud-Native 数据库，这不仅是一种升维，更是源于 GaussDB 实现的两大革命性突破：其一，AI in DB，首次将 AI 技术引入了 GaussDB 全系列产品内核中，实现自运维、自管理、自调优、故障自诊断和自愈，调优性能比业界提升 60%以上。其二，DB for AI，GaussDB 数据库适配 AI 的运行。用户可以通过数据库语言来方便地使用 AI，降低 AI 使用门槛，实现普惠 AI。

经过几年的市场检验，在 2022 年 6 月的国产化数据库排行榜上，高斯开源的 oepnGauss 和 GaussDB 双双进入前五。

下面我们通过试用 GaussDB（for Redis），来看一下在安全性方面，GaussDB（for Redis）有哪些配置和安全性如何。

2.GaussDB（for Redis）的安全性设置

2.1 密码安全设置

有人可能会说新建一个数据库，密码设置这不是常规操作，有什么值得说的。要知道 GaussDB（for Redis）是对标 redis 的，由于 redis 本身并没有强制必须的密码配置和密码负责度的配置，很多线上环境的 redis 完全就是裸奔，有 IP 和端口就可以进行连接，Redis 因配置不当可以未授权访问。攻击者无需认证访问到内部数据，可导致敏感信息泄露，也可以恶意执行 flushall 来清空所有数据。攻击者可通过 EVAL 执行 lua 代码，或通过数据备份功能往磁盘写入后门文件。如果 Redis 以 root 身份运行，可以给 root 账户写入 SSH 公钥文件，直接通过 SSH 登录受害服务器。所以使用 GaussDB（for Redis）解决了 redis 本身自带的安全性问题，也提高了系统的安全性。

2.2 内网安全组进行隔离

在创建 GaussDB（for Redis）的安全配置主要就是选择内网安全组。内网安全组的配置其实就是一个小型 ACL（访问控制列表）控制哪些 IP 和端口可以进行访问。

在安全组的描述说明中，华为云也很贴心的把常用的端口和威胁端口列了出来。

常用端口：

常见威胁端口：

2.3 数据备份

数据备份其实是一个重要的功能，不要认为只有黑客入侵才是安全事件。数据安全同样是安全事件，因为滴滴问题去年数据安全大火了一把，因为磁盘、人为、环境等造成的数据丢失都需要数据的备份和恢复功能。

这边还可以根据用户自己的需求去设置备份策略。不知道是不是试用版的原因，我这边备份最大只能备份 35 天。因为按照等保 2.0 数据备份的要求，重要的数据至少需要备份 6 个月。

2.4 限制高危命令

从下图可以看到，我输入了 redis 常用的 keys 命令，居然是执行失败。因为 GaussDB（for Redis）对 redis 原生命令进行了过滤，对一些高危命令进行了限制。详细的命令规范可以参考命令兼容列表_云数据库 GaussDB NoSQL _GaussDB(for Redis)_用户指南_开发规范与命令兼容_华为云 (huaweicloud.com)

3.小结

总得来说 GaussDB（for Redis）相对传统开源 redis 的提升巨大，做了很多安全性的设置。开箱即用，使用 GaussDB（for Redis）无疑会大大提升数据安全和系统安全。也期待 GaussDB 有更多安全性的提升。

【华为云至简致远】有奖征文火热进行中：https://bbs.huaweicloud.com/blogs/352809

想了解更多华为云产品相关信息，请联系我们：​电话：950808 按 0 转 1