Was öffentliche Netzwerke betrifft:

1. Reduzieren Sie Ihre Angriffsfläche - können Sie den NAS aus dem Internet entfernen? Können Sie die IPs einschränken, die eine Verbindung herstellen dürfen?
2. Erhöhen Sie die Angriffskosten - Sperren sind großartig, stellen Sie aber auch sicher, dass Sie ein komplexes Kennwort haben und es regelmäßig ändern
Zugriff überwachen - Behalten Sie im Auge, wer sich erfolgreich anmeldet
3. Behandeln Sie die Risiken - haben Sie einen Plan für die Veranstaltung, wann Jemand bricht tatsächlich ein. Kann der NAS verwendet werden, um auf den Rest Ihres Netzwerks zuzugreifen? Gibt es irgendetwas, das ein Risiko darstellen würde, wenn es in die falschen Hände geraten würde? Haben Sie Backups?
ol>

Nach Ihrer Beschreibung ist es möglich, dass Sie von Bots angegriffen wurden, die IP mit bestimmten Ports durchsuchen und versuchen, diese mit Standardkennwörtern aller Arten von FTPs, NAS: s oder nur aus einer bestimmten Wortliste brutal zu erzwingen. Mein Rat an Sie: Schließen Sie vorerst den NAS-Port in Ihrem Router. Es gibt verschiedene Methoden, um diese Angriffe zu vermeiden. Eine Methode besteht darin, zu Hause ein virtuelles privates Netzwerk (VPN) aufzubauen und von dort aus auf Ihr NAS zuzugreifen.

Sie sollten sich darüber keine Sorgen machen, da es Unmengen von Bots aus China, Frankreich und anderen Ländern gibt, die dies versuchen mach das selbe. Normalerweise werden Sie zu einem Ziel, wenn Sie eine Art DNS verwenden, das auf Ihre IP verweist, z. B. noip.com.

Als jemand, der gelegentlich SEIM-Daten (Security Event Information Monitoring) überprüfen musste, kann ich Ihnen sagen, dass das Scannen von Ports nichts Ungewöhnliches ist. Es kann so oft wie täglich passieren.

Eine Verbindung zum Internet ist wie eine Haustür zu einer belebten Straße. Sie werden Leute an Ihre Tür klopfen lassen. Und einige von ihnen könnten daran interessiert sein, Ihre Sachen zu stehlen.

Ich habe keine Ahnung, warum Sie sich entschieden haben, Ihr NAS mit dem Internet zu verbinden. Ich hätte es nicht getan, aber Sie haben vielleicht gute Gründe. Wenn Sie dies tun, reduzieren Sie Ihre Angriffsfläche, indem Sie einschränken, welche Ports und IPs Sie über Ihren Router zulassen, und sperren Sie dann den NAS selbst so weit wie möglich, indem Sie beispielsweise keine Dienste ausführen, die Sie nicht verwenden. Stellen Sie außerdem sicher, dass auf Ihrem Router die neueste Firmware ausgeführt wird, um das Risiko zu minimieren, dass jemand einen bekannten Exploit verwendet.

Der Rat von Schröder oben ist meiner Meinung nach ziemlich gut. Aber um auf ein besonderes Anliegen von Ihnen einzugehen:

wenn er die richtige Kombination aus Benutzername und Passwort erhält

Wie stehen die Chancen dafür? P. >

Wenn Sie ein zufällig generiertes Passwort mit 12 Zeichen, Groß- / Kleinbuchstaben und Ziffern verwenden, sind etwa 3 * 10 ^{21 sup> (62 12 sup>) mögliche Passwörter möglich.}

Wenn Sie mit 1 GBit / s mit dem Internet verbunden sind, könnte der Angreifer theoretisch etwa 12 Millionen Passwörter mit jeweils 12 Buchstaben pro Sekunde als Brute-Force-Angriff senden. Bei dieser Geschwindigkeit würde es durchschnittlich 4 Millionen Jahre dauern, bis Sie Ihr Passwort erraten haben. Meiner Meinung nach sind Sie mit einem guten Passwort ziemlich sicher, selbst wenn Sie mit Brute-Force-Angriffen von vielen IPs überhäuft werden.

Dies setzt natürlich voraus, dass Sie ein vollständig zufällig generiertes Passwort verwenden (wie bei pwgen -s 12 1 ) und dass es auf einem sicheren Zufallszahlengenerator basiert. Wenn jemand Ihr Passwort abfängt (z. B. mit einem Trojaner auf Ihrem Desktop-Computer oder weil Sie es aufgeschrieben und das Papier verloren haben oder weil Sie es über IRC an Ihren Freund gesendet haben ;-)), ist die Sicherheit des Passworts wird nicht helfen.

Außerdem ist es immer noch eine gute Idee, die Anzahl der öffentlichen Dienste zu verringern, um die Möglichkeit zu verringern, dass ein Sicherheitsfehler in diesen Diensten ausgenutzt wird.

Meiner Meinung nach sollten Sie auf keinen Fall direkte Verbindungen zu Ihrem NAS über das Internet (einschließlich Portweiterleitung) zulassen.

Dies hängt jedoch von den Daten ab, die Sie dort haben. Es gibt also zwei Möglichkeiten:

1. Wenn es sich um eine Art öffentlichen Server handelt, den Sie und Ihre Freunde / andere Personen verwenden sollen, halten Sie ihn in Verbindung und konzentrieren Sie sich darauf, die Sicherheit zu erhöhen.

2. Wenn Sie dort jedoch vertrauliche Daten speichern und der Verlust der Vertraulichkeit, Verfügbarkeit oder Integrität für Sie schädlich sein kann, trennen Sie sie einfach sofort. Dies bedeutet sofort, dass das Risiko besteht, dass Ihr NAS gehackt wird und Ihre Daten zu hoch sind (dies hängt wiederum von Ihrer eigenen Einschätzung ab, was mit Ihnen passiert, wenn Ihre auf dem NAS gespeicherten Daten durchgesickert / geändert / gelöscht werden und wie schlecht ist es für Sie).

ol>

Im zweiten Fall wird das Problem durch Sichern Ihres NAS nicht wirklich gelöst , da es ein einziges bleibt Fehlerstelle / Eingang. Selbst wenn Sie es ordnungsgemäß konfigurieren, mit Zwei- oder sogar Drei-Faktor-Authentifizierung, Firewall usw., und selbst wenn Ihr System auf dem neuesten Stand ist, besteht möglicherweise nur eine Zero-Day-Sicherheitslücke eines ordnungsgemäß konfigurierten und geschützten Dienstes auf Ihrem System NAS. Wie Heartbleed (siehe Wie wird Heartbleed ohne technische Begriffe erklärt? und Wie genau funktioniert der OpenSSL TLS-Heartbeat (Heartbleed)?). Wenn Heartbleed Zero-Day war und die Benutzer einen Webserver mit SSL (HTTPS) abhörten, selbst wenn dieser ordnungsgemäß konfiguriert war, konnte er dennoch gehackt werden, ohne dass Warnungen in den Protokollen usw. vorhanden waren, und der Angreifer muss sich nicht authentifizieren überhaupt.

Oder ein anderes für NAS relevanteres Beispiel: https://www.kb.cert.org/vuls/id/615910. Stellen Sie sich die Zeit vor, als diese Sicherheitsanfälligkeit null Tage betrug. Wenn Ihr Synology NAS mit einem mit dem Internet verbundenen Webserver verbunden ist, kann ein "nicht authentifizierter Remotebenutzer beliebige Daten unter Root-Rechten an Dateien auf dem System anhängen", was bedeutet, dass der Remoteangreifer "beliebigen Code ausführen" kann ( http://www.cvedetails.com/cve/CVE-2013-6955/). Selbst wenn Sie den Zugriff auf Ihren Webserver ordnungsgemäß eingeschränkt haben, hilft dies in diesem Fall nicht, da es sich um eine Sicherheitsanfälligkeit des Servers selbst handelt.

Was ist also zu tun?

Platzieren Sie Ihren NAS hinter einem Router und konfigurieren Sie den VPN-Server auf dem Router. Um auf Ihr NAS zuzugreifen, müssen Sie (1) eine Verbindung über VPN mit Ihrem Heimnetzwerk herstellen und (2) sich auf dem NAS selbst authentifizieren. Um auf Ihre Daten zuzugreifen, sollte jemand zuerst Ihren Router und dann Ihren NAS hacken. Wenn auf dem Router eine andere Software ausgeführt wird, bedeutet dies, dass ein Angreifer jetzt 2 Zero-Day-Exploits anstelle von 1 benötigt, wenn Sie alles richtig konfiguriert und regelmäßig aktualisiert haben. Diese Maßnahme fügt eine weitere Schutzstufe hinzu und erschwert es einem Angreifer erheblich, auf Ihre NAS-Daten zuzugreifen.

Natürlich ist es jetzt auch für Sie komplizierter, auf Ihre Dateien zuzugreifen, aber das ist es ein Preis für höhere Sicherheit. Sie müssen sowohl Zeit als auch Geld aufwenden (um einen VPN-fähigen Router zu kaufen, zahlen Sie wahrscheinlich für die statische IP-Adresse, wenn diese verfügbar ist (oder wechseln Sie sogar einen Anbieter), konfigurieren Sie sie usw.). Dann können Sie nur dann eine Verbindung zu VPN herstellen, wenn Sie einen Client installiert haben. Um es ein bisschen einfacher zu machen, können Sie jedoch nach clientlosen VPN-Lösungen suchen.

Viele Dinge, die Sie tun können, um Ihr NAS zu schützen: - Kompliziertes Kennwortmuster, 2-Faktor-Anmeldung .... - Aktivieren und verstärken Sie Ihren Router-Firewall-Regelsatz. - Schalten Sie Ihre NAS-Firewall ein und verstärken Sie sie. - eingeschränkter Zugriff auf TCP-Port und -Dienst über das interne Segment und das Internet. - Verwenden Sie immer https. - Verwenden Sie VPN. - Deaktivieren und blockieren Sie alle Dienste, die nicht erforderlich sind, um das Internet zu nutzen. - Weisen Sie einem Benutzerkonto einen eingeschränkten Anwendungszugriff zu, der über das Internet verwendet werden soll (um auf Ihr NAS zuzugreifen).

Sie könnten DenyHosts ausprobieren. Es sammelt beleidigende IP-Nummern von allen Benutzern und dann können Sie diese globale Liste von IPs verwenden, um Ihr NAS zu schützen.

Ich habe es 4-5 Jahre lang ohne Probleme verwendet, aber als ich eine erstellt habe Bei der Neuinstallation meines NAS vor einigen Monaten habe ich versucht, eine Weile ohne DenyHosts zu laufen. Dann tauchten die Anmeldeversuche nach weniger als einer Woche auf.