Открытый сервер Redis интернет-сканеры находят за считанные минуты, а CONFIG SET dir позволяет злоумышленнику записать через него веб-шелл или SSH-ключ. Этот навык находит такую ошибку и ещё шесть ошибок конфигурации Redis до запуска сервера и объясняет, как исправить каждую.

Ваш агент запускает сканер по файлам redis.conf и valkey.conf. Он читает директивы так же, как Redis (пробелы или табуляция, кавычки, комментарии, побеждает последнее значение), определяет по bind, protected-mode и портам, доступен ли сервер из сети, и задан ли пароль или ACL. Он никогда не подключается к Redis. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Пароли никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• R01: доступен из сети (bind 0.0.0.0, * или protected-mode no) без пароля или ACL

• R02: слабый пароль: foobared (пример из redis.conf), распространённое слово или короче 16 символов

• R03: dir или dbfilename указывает на корень сайта, папку .ssh или cron либо на файл .php (атака с веб-шеллом)

REVIEW (проверить перед релизом)

• R11: CONFIG не переименована и не ограничена для клиентов, которые могут достучаться до сервера

• R12: порт без шифрования доступен из сети (нет TLS)

• R13: enable-debug-command, enable-module-command или enable-protected-configs установлены в yes

• R14: защищённый режим выключен при отсутствии пароля

Что входит

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным подходом для каждого правила

• Рискованные и безопасные примеры конфигураций и настоящий отчёт сканера по рискованным

Ограничения

Сканер читает каждый файл в том виде, в каком он написан: подключаемые файлы, параметры командной строки, настройки command: в Docker, содержимое aclfile и файрволы не учитываются. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл с 10 файлами: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (5 файлов примеров и report.md, настоящий вывод сканера по рискованному примеру).

Как использовать: это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте её в папку навыков вашего агента (для Claude Code: ~/.claude/skills/) и попросите агента проверить проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: без доступа к сети, ничего никуда не отправляется.