【ITニュース解説】Redis: 142 Product Matches Beside 4.9 Million Answers on Port 6379

Redisとは、非常に高速なデータ処理を可能にする、インメモリデータベースと呼ばれる種類のソフトウェアである。大量のデータをメモリ上に保存し、迅速に読み書きできるため、多くのウェブサービスやアプリケーションで利用されている。しかし、その利便性の裏で、セキュリティについて特に注意すべき点が今回のニュース記事で指摘されている。システムエンジニアを目指す上で、このようなサービスの安全性について理解を深めることは非常に重要だ。

Redisは、本来「信頼されたネットワーク」の内部で利用されることを前提に設計されている。信頼されたネットワークとは、社内ネットワークや特定のサーバー群の間など、安全が確保されていると判断できる環境を指す。つまり、Redisは、アプリケーションが動作しているサーバーと同じ場所や、そのサーバーと安全に接続されたネットワークからアクセスされることを想定している。もしRedisがインターネットのような「信頼できないネットワーク」に直接公開されてしまうと、そのセキュリティは著しく低下する。

Redisのセキュリティに関する公式ドキュメントは、この点について非常に明確な警告を発している。サーバーは、同じホスト上または信頼されたネットワーク内のクライアントのみがアクセスすべきであり、それができない場合はファイアウォールで保護する必要がある、とされている。ファイアウォールは、不正なアクセスからシステムを守るための「防火壁」のようなもので、必要な通信だけを許可し、不要な通信をブロックする役割を果たす。

Redisのデフォルトのセキュリティ設定は、インターネット公開を前提としていないため、特に注意が必要だ。標準の設定では、同じサーバー上からのアクセス（ローカルソケットからの接続）に対しては、認証なしで接続を許可する。また、ネットワーク経由での接続に対してはパスワードを設定するオプションがあるが、これは「任意」であり、設定しないことも可能だ。この「認証がオプションである」という特性が、インターネットに意図せず公開された場合に大きな問題を引き起こす。認証なしで誰でもアクセスできてしまうデータストアは、まさに「誰にでも答えを返すデータストア」になってしまうからだ。もしこのような状態でRedisのインスタンスが侵害された場合、保存されているデータは簡単に読み取られ、設定によってはサーバー上にファイルを書き込まれる可能性さえある。これは、企業や個人の重要な情報が漏洩したり、システムが乗っ取られたりする深刻なリスクを意味する。

今回のニュース記事では、実際にインターネット上にRedisがどのように露出しているかを測定した結果が報告されている。調査は、世界中のインターネットに接続されたサービスをスキャンするツール「ZoomEye」を使って行われた。2つの異なる検索クエリが実行された。

一つ目は、「app="Redis"」というクエリだ。これは、ソフトウェアが「Redis」であると特定できたサービスを検索するものである。この検索では、142件のサービスが一致した。この数は、特定のソフトウェアを正確に識別するフィンガープリント（指紋）によるもので、比較的少なかった。これは、ZoomEyeが「Redisである」と断定できる特徴を捉えるのが難しいか、または対象のデータベースにおけるRedisの識別精度が限定的であることを示唆している。

二つ目は、「port="6379"」というクエリだ。これは、インターネット上のどのサービスが「6379番ポート」で応答しているかを検索するものである。ポートとは、ネットワーク通信におけるデータの出入り口の番号のようなものだと考えればよい。Redisは通常、デフォルトでこの6379番ポートを使用する。この検索では、驚くべきことに約493万件ものサービスが一致した。

この二つの結果の差は非常に大きい。製品名を特定できたRedisはわずか142件であるのに対し、Redisがデフォルトで使用するポート番号で応答しているサービスは約500万件近くに上る。このことは、インターネット上にRedis、またはRedisが使用するポートを公開しているサービスが非常に多く存在し、その多くがRedisであると明示的に特定されていない可能性があることを示している。

もちろん、6379番ポートで応答するすべてのサービスがRedisであるとは限らない。他のソフトウェアがたまたまこのポートを使用している可能性も考慮する必要がある。また、この測定結果は、スキャンを行ったインフラから到達可能なサービスのみを対象としている。本来の安全なデプロイメント（配置）である、ローカルインターフェースにのみバインドされている（つまり、同じサーバーからしかアクセスできない）Redisインスタンスや、デフォルトではない非標準ポートを使用しているRedisインスタンスは、このカウントには含まれていない。しかし、Redisのように広く知られたデフォルトポートを持ち、かつインターネットへの公開が明確に禁止されている製品の場合、製品のフィンガープリントがなくてもポート番号自体が「露出の指標」として非常に有効だ。

Redisにとって、ポートレベルの測定が特に有効である理由は二つある。まず、Redisのデフォルトポートである6379番は、バージョンや配布元に関わらず安定しており、インデックス化されている他の無関係なソフトウェアによって再利用されることが少ない。次に、Redisのセキュリティガイダンスは非常に明確であり、インターネットへの露出が禁止されている。そのため、問題となるサービス群は、具体的なバージョンや既知の脆弱性によって定義されるのではなく、「インターネットに露出しているかどうか」という観点によって定義される。

約500万件のサービスが6379番ポートで応答しているという事実は、そのまま500万件の露出したデータストアが存在することを意味するわけではない。しかし、それは「このサービスは露出したデータストアなのか？」という重要な問いを、そのサービスの所有者に対して投げかける価値があることを示唆している。システムエンジニアとして、自分たちが管理するサーバーがこの約500万件の中に含まれていないか、含まれているとしたら安全な状態であるかを確認する責任がある。

では、組織が所有するサービスが6379番ポートで応答している場合、具体的にどのようなチェックを行えば、そのサービスがリスクのある状態にあるかを判断できるのだろうか。以下の点が重要な確認項目となる。

一つ目は、「バインドアドレス」の確認だ。これは、Redisがどのネットワークインターフェースからの接続を許可しているかを示す。もしローカルインターフェース（127.0.0.1など、同じサーバー内からのアクセスのみを許可する設定）にのみバインドされていれば、インターネットからの直接アクセスは不可能であり、安全性が高い。しかし、グローバルなネットワークインターフェース（0.0.0.0など、すべてのネットワークからのアクセスを許可する設定）にバインドされている場合は、インターネットに露出している可能性が高く、特に注意が必要だ。

二つ目は、「パスワードが設定されているか」そして「保護モードが有効になっているか」を確認することだ。Redisには、認証を強化するためのパスワードオプションや、保護モードと呼ばれるセキュリティ機能がある。これらが適切に設定・有効化されていれば、不正なアクセスを防ぐ助けとなる。

三つ目は、「ファイアウォールルールが適切に設定されているか」だ。Redisへのアクセスを必要とするアプリケーションホストにのみ、アクセスを許可するようにファイアウォールが限定されているかを確認する必要がある。不要なIPアドレスからの接続をブロックすることで、不正アクセスを防ぐことができる。

四つ目は、「危険なコマンドのリネームまたは無効化」が適用されているかを確認することだ。Redisには、データを削除したり、設定を変更したりする強力なコマンドが存在する。これらを悪用されることを防ぐため、必要に応じてコマンド名を変更したり、完全に無効化したりする設定が可能だ。

五つ目は、「永続化ファイルが安全な場所に書き込まれているか」だ。Redisは、データを永続化（再起動後もデータを保持）するために、ファイルにデータを書き出すことがある。この永続化ファイルが、認証されていないクライアントによってアクセスされたり、影響を受けたりする可能性のある場所に保存されていないかを確認する必要がある。

このように、「製品のフィンガープリントで特定できた数」と「ポート番号で応答する数」の両方を比較して報告することは、セキュリティレポート作成において非常に有用な習慣である。今回のニュース記事が示唆するように、Redisのような特定の製品では、ポート番号による広範な検索結果が、実際に確認すべき「候補リスト」としてより実用的であることが多い。ZoomEyeのようなツールを使うことで、これら二つの異なる検索を一つのプラットフォーム上で行い、比較検討することが可能となり、これは実務上非常に大きな利点となる。システムエンジニアとして、このようなセキュリティの基本と、それを実践するためのツール活用術を身につけることは、安全なシステム構築において不可欠なスキルとなるだろう。