A Synology NAS ransomware elleni védelme nem egyetlen DSM-beállításon múlik. A NASCompares összefoglalója szerint a leghatékonyabb a naprakész biztonsági frissítések, a szigorúan korlátozott hozzáférés és egy olyan helyreállítási másolat együttese, amelyet a támadó nem tud egyszerűen felülírni vagy törölni.
Az írás a korábbi LOCK3D / C3RB3R zsarolóvírusos beszámolók folytatása. A szerző hangsúlyozza, hogy ez gyakorlati felfrissítés, és nem ok arra, hogy pánikszerűen új hardvert vegyünk. A húsz tanácsot három csoportba rendezték. A cikk szövege az első kilenc pontnál megszakad, ezért az alábbi összefoglaló erre a részre épül. A témáról szóló korábbi anyagunk is elérhető: Synology ransomware: C3RB3R és PHP2Shell, amit tudni kell.
Mit tegyünk először a Synology NAS biztonsága érdekében?
Ha kevés az időnk, a forrás szerint ezekkel érdemes kezdeni:
- Frissítések ellenőrzése: a DSM és a csomagok biztonsági frissítései a ismert szoftverhibák ellen védenek. A friss DSM nem frissít automatikusan minden konténert vagy külső alkalmazást.
- Felesleges internetes elérés megszüntetése és az adminfiók védelme: ez az internetes szkennelés és az ellopott jelszavak ellen hat. Egy megfertőzött helyi PC azonban továbbra is kárt tehet azokban a megosztásokban, amelyekre írhat.
- Legkisebb jogosultság és tűzfalszabályok: korlátozzák, hogy ki és mi érheti el az értékes adatokat. A szabályokat tesztelni kell, hogy ne zárjuk ki magunkat.
- Pillanatképek, független mentések és visszaállítási teszt: ezek akkor segítenek, ha a megelőzés elbukik. A helyi pillanatkép önmagában nem véd a teljes NAS elvesztése ellen.
A szerző figyelmeztet: ez megelőző megerősítés, nem garantált megoldás minden zsarolóvírus-változatra. Ha már folyik a titkosítás, vagy megjelent a váltságdíjról szóló üzenet, el kell különíteni az eszközt a hálózattól. Védeni kell a független mentéseket, és szakmai segítséget kell kérni, mielőtt bármit törlünk, alaphelyzetbe állítunk vagy visszacsatlakoztatunk. Beállítások módosítása előtt érdemes helyi adminbelépést és konfigurációs mentést is tartani.
Hogyan csökkenthető a NAS támadási felülete?
Frissítés és támogatottság
A DSM frissítési beállításaiban ellenőrizzük, melyik build fut valójában. Utána nézzük meg a Synology Download Centert a pontos modellhez, a frissítési útmutatókkal és biztonsági javításokkal együtt. Az automatikus frissítési jelzés önmagában hiányos képet adhat. A nagyobb verzióugrás előtt vizsgáljuk meg a csomagok kompatibilitását, de a funkciófrissítés halasztása nem jelenthet határozatlan időre szóló biztonsági javítás-mellőzést.
Ha a NAS már nem kap biztonsági karbantartást, ne tegyük közvetlenül elérhetővé az internetről a kezelőfelületét vagy a fájlszolgáltatásait. Korlátozott helyi mentési célként még használható lehet, de ehhez külön hozzáférés-szabályozás és újabb helyreállítási másolat kell. A VPN korlátozza az elérést, de nem javítja ki a támogatás nélküli rendszert.
Portok, VPN, QuickConnect és UPnP
- Alapértelmezett portok: a DSM a 5000-es (HTTP) és az 5001-es (HTTPS) portot használja. Az átállítás csökkentheti a rutinszerű szkennelési zajt, de a szkennerek a nem szabványos portokat is megtalálják, ezért legfeljebb apró kiegészítés.
- VPN: távoli kezeléshez karbantartott VPN vagy szigorúan beállított privát overlay hálózat (például Tailscale) ajánlott. Korlátozzuk, mely felhasználók és eszközök csatlakozhatnak, és távolítsuk el a régi klienseket. Az eredeti nyilvános portátirányítást is szüntessük meg.
- QuickConnect: ha nincs rá szükség, kapcsoljuk ki. A szerző kiemeli, hogy ez házirend-takarítás, és nem állítják, hogy a korábban tárgyalt támadások belépési pontja lett volna.
- UPnP és portátirányítás: ellenőrizzük az útválasztó automatikus portleképezését, kapcsoljuk ki, ha nem kell, és töröljük a felesleges átirányításokat.
Fiókok, szolgáltatások és hálózat megerősítése
A DSM 7-ben az Auto Block a Vezérlőpult > Biztonság > Védelem menüben található, és a beállított számú sikertelen bejelentkezés után blokkolja az IP-címet. Érdemes átnézni a fiókvédelmet is. A DoS-védelem kiegészítő hálózati eszköz, nem zsarolóvírus-szkenner. Az Auto Block pedig nem javít olyan sebezhetőséget, amely jelszótalálgatás nélkül is kihasználható.
Vegyük számba az SMB, FTP, WebDAV és más bekapcsolt szolgáltatásokat, és tiltsuk le, amelyiket nem használjuk. Egyszerre egy elemet módosítsunk, karbantartási időszakban, és közben teszteljük a mentéseket és a csatolt megosztásokat. Egy megfertőzött, írási joggal rendelkező PC a DSM átvétele nélkül is titkosíthatja a NAS fájljait, ezért az engedélyek és a végpontvédelem is kulcsfontosságú. Az összefoglaló további pontjai többek között a többfaktoros hitelesítés, az SSH kikapcsolása, az alapértelmezett admin letiltása, a DSM tűzfala, a hálózati szegmentálás, a pillanatképek, a független mentések, az értesítések és a visszaállítási teszt.
Ha NAS-cserén gondolkodunk, a kínálatról is írtunk: Synology DiskStation neo+: négy új NAS, olcsóbban.
Gyakori kérdések
Elég a DSM frissítése a zsarolóvírusok ellen?
Nem. A frissítés az ismert sebezhetőségeket zárja le, de nem frissít minden konténert vagy külső alkalmazást. Emellett a hozzáférés-korlátozás és a független mentés is kell.
Segít a portok átállítása?
Csak kismértékben. Csökkentheti a rutinszerű szkennelési zajt, de a szkennerek a nem alapértelmezett portokat is felfedezik.
Elég a helyi pillanatkép?
Nem. A helyi pillanatképek nem védenek a teljes NAS elvesztése ellen, ezért független mentés és a visszaállítás tesztelése is szükséges.
Mit tegyünk, ha már titkosítás zajlik?
Különítsük el az érintett eszközt a hálózattól, védjük a független mentéseket, és kérjünk szakmai segítséget. Előtte ne töröljünk fájlokat, ne állítsuk alaphelyzetbe a NAS-t, és ne csatlakoztassuk vissza a mentési meghajtókat.
Forrás: NASCompares
