Re: [情報] 華芸NAS遭到deadbolt勒索病毒盯上(新)

ms0344303 06/18 22:27現在用路由器vpn轉發順便用內建防

ms0344303 06/18 22:27火牆都很方便了 直接開port的能操

ms0344303 06/18 22:27作應該很少了

oppoR20 06/18 22:57哈哈QNAP哈哈 哈哈華芸哈哈

oppoR20 06/18 22:58學校一堆單位跟實驗室買QNAP 只能

oppoR20 06/18 22:58說心臟真的很大顆

zhtw 06/18 23:02看了一下Q牌網頁說明

zhtw 06/18 23:03這次是針對QTS4.X舊版系統的攻擊

zhtw 06/18 23:03QTS早就5.0了 不升級系統被攻擊

zhtw 06/18 23:03那其實是自作自受

oppoR20 06/18 23:05Qnap放生一堆NAS好嗎XD

oppoR20 06/18 23:07Dsm 7.0甚至2012的都可以裝 qnap t

oppoR20 06/18 23:07s 669p x86的被封印在qts 4.3.4

AreLies 06/18 23:08https://i.imgur.com/MHHxYQK.png

zhtw 06/18 23:13669P 2012年的產品 不支援很正常

zhtw 06/18 23:14過時硬體早該淘汰了

oppoR20 06/18 23:15其實大功能2018就被放生了

zhtw 06/18 23:15就算沒中毒 硬體也差不多掛了

oppoR20 06/18 23:15還活的好好的呢

fujisawa 06/18 23:17Synology目前"安全性更新"最遠大該

fujisawa 06/18 23:17是在10年底到11年的機型

Rollnmeow 06/18 23:19所以自己架NAS到底有沒有搞頭

twinmick 06/18 23:21不要小看舊電腦的長壽威能，它只是

twinmick 06/18 23:21效能低而已，但是很耐用，家裡還有

twinmick 06/18 23:22台2008的Qnap NAS現在當備份的備份

AreLies 06/18 23:23自己架就是享受自己組的成就感

AreLies 06/18 23:23會玩硬體 自己組比較方便了

AreLies 06/18 23:23軟體的部份 資料都很好找

oppoR20 06/18 23:23時間很多的話自己組nas沒什麼問題

oppoR20 06/18 23:23品牌nas買的事軟體跟服務

zhtw 06/18 23:23然後我看了群暉2012的機種

oppoR20 06/18 23:23自己組要自己debug 軟體要自己找

AreLies 06/18 23:24拿個775四核來組 也夠用

zhtw 06/18 23:2412+系列也不支援 7.0啊

oppoR20 06/18 23:24喔喔 我看錯了 抱歉

oppoR20 06/18 23:25但至少不是被放生4年 真的是在哭

zhtw 06/18 23:25群暉12系列NAS 也只支援到6.2

Rollnmeow 06/18 23:26我手上的群輝是410j 已經停更了

Cubelia 06/18 23:27DSM6.2.4還有在提供安全性更新

Cubelia 06/18 23:27部分款式7.0.1不能更新到7.1

Cubelia 06/18 23:28上次買的IO Data用的很爽XD

Cubelia 06/18 23:29用過NAS就真的胃口會養大

zhtw 06/18 23:29Q牌也有安全性更新就是了

zhtw 06/18 23:30不過 有些人就是不更新啊

zhtw 06/18 23:31群暉上次炸也是炸在沒更新的舊系統

zhtw 06/18 23:31BUG早修了 使用者不更新廠商也無法

zhtw 06/18 23:32過大版本支援週期就是汰換的時間了

Rollnmeow 06/18 23:35我有點好奇能不能讓NAS軟體上

Rollnmeow 06/18 23:35跟外網隔絕，只能在區網內存取資料

Rollnmeow 06/18 23:36或是透過分享器設定的方式

fujisawa 06/18 23:38看部分QTS4.X的機型都還列在安全性

fujisawa 06/18 23:39更新列表內阿

Rollnmeow 06/18 23:39之前在儲存版問是說不要開SSH給外網

twinmick 06/18 23:40NAS只開區網功能不就可以只在內網用

Rollnmeow 06/18 23:41我查看看DSM5.2能不能這樣設定

plug 06/19 00:03DSM過保更新失敗燒主版過，不敢更新

plug 06/19 00:04內網順用就好，資料不見停工死更慘

ccbbaa 06/19 00:09群輝怎都沒事@@

fonzae 06/19 00:13這是要看你對於服務的需求

fonzae 06/19 00:13若只針對內網，防火牆設定外對內

fonzae 06/19 00:14全禁就好，這很基本的方式

fonzae 06/19 00:14就算你NAS開SSH，也無法從外部連

fonzae 06/19 00:15進階點就是設pub金鑰才能登入

wbenjin 06/19 00:15對外開VPN就好了 要幹嘛一律進VPN

fonzae 06/19 00:16VPN吞吐量會變差，要考慮IKEv2

fonzae 06/19 00:16若是透過NAS的VPN會更糟

fonzae 06/19 00:16最近跑了sstp、ovpn、ikev2

fonzae 06/19 00:17這三個檢測在ROS，前兩者僅能3MB/s

fonzae 06/19 00:17後者可到達10MB/s

fonzae 06/19 00:17上傳為100Mbps

fonzae 06/19 00:18不過對外開都會有風險，走VPN建議

fonzae 06/19 00:18走多因驗證，如憑證+帳密

fonzae 06/19 00:19若有radius更棒，結合token

fonzae 06/19 00:19結合AD或Ldap來記錄

fonzae 06/19 00:20不過大多NAS用戶應該很少SSH進去玩

fonzae 06/19 00:20像是放pub公鑰跟修改ssh登入方式

ccbbaa 06/19 00:31有實體ip 要能外網 要怎樣才安全呢@

oppoR20 06/19 00:33NAS禁止外網 外網要存取NAS都透過V

oppoR20 06/19 00:33PN 基本上普通家用的這樣就很安全

oppoR20 06/19 00:33了

oppoR20 06/19 00:34服務沒事不要亂開 ssh美術館屌 真

oppoR20 06/19 00:34的要用至少把預設22改掉

oppoR20 06/19 00:34沒事關掉

fonzae 06/19 00:36大部分人會用SSH去連NAS嗎?

fonzae 06/19 00:37要思考的是這個，沒有就可以關閉

fonzae 06/19 00:37外網連入很多方法，多因驗證是一種

fonzae 06/19 00:37限定來源IP也是一種

ccbbaa 06/19 00:39可是我都在外面連進去開影片的說orz

fonzae 06/19 00:39S牌NAS也有提供Google身分驗證

kaltu 06/19 00:39要在外面連就用VPN啊，一堆人都講了

oppoR20 06/19 00:40那你路由器就開特定port通過就好

oppoR20 06/19 00:40其他的都不要開

oppoR20 06/19 00:40最簡單就這樣 膽寒事不能保證安全

fonzae 06/19 00:40做好防範，定期修補沒那麼容易中獎

oppoR20 06/19 00:40不能保證最安全

fonzae 06/19 00:40拿之前沸沸揚揚的log4j，也是修了

fonzae 06/19 00:41三次，重點還是在基礎防護札實

fonzae 06/19 00:41平常做好權限管控跟日誌查看

fonzae 06/19 00:42這也是資安一種

oppoR20 06/19 00:42兩家防火牆我講的都可以擋地理位置

oppoR20 06/19 00:42把只允許台灣ip放首位

kaltu 06/19 00:45隨便買個二手可以刷開源韌體看你要W

kaltu 06/19 00:45RT還是番茄的路由器，整台機子什麼

kaltu 06/19 00:45功能都不開就只架設strongSwan，用

kaltu 06/19 00:45憑證連線只有你要外連的手機筆電用o

kaltu 06/19 00:45ffline的方式copy憑證過去，連上VPN

kaltu 06/19 00:45之後你要對根本沒接外網的NAS做什麼

kaltu 06/19 00:45事都跟區網一樣了

kuninaka 06/19 01:08我家NAS都放內網

ccbbaa 06/19 04:20多謝提供資訊>W< 我來搞搞看~~

aegis43210 06/19 04:33S牌有按時更新，連外網風險也不高，

aegis43210 06/19 04:33只連台灣IP就好

Baternest 06/19 09:29admin帳號換掉 port也要改 然後ban

Baternest 06/19 09:29掉非台灣ip

Andosinjo 06/19 11:05請問群暉怎麼設定限制台灣ip 連線

windjammer 06/19 11:15Web對外服務套個cloudflare 可以擋

windjammer 06/19 11:15掉很多事情 免費好用

cp296633 06/19 11:22控制台-安全性-防火牆-編輯規則

cp296633 06/19 11:26https://i.imgur.com/Tx9L9J8.jpg

cp296633 06/19 11:27nas防火牆白名單制+路由器端口轉發

cp296633 06/19 11:27再用非固定ip+ddns

cp296633 06/19 11:37設完再去google scan port online

cp296633 06/19 11:37看看有該port對國外ip有沒有open

robinsonXD 06/19 11:53這波我中了 找不到原因= =

cp296633 06/19 11:55半年固定冷備份就不怕片片被加密惹

tomsawyer 06/19 12:14你以為台灣ip不會被當作跳板攻擊嗎

rail02000 06/19 12:24台灣IP當然也有風險，但能少一個風

rail02000 06/19 12:24險是一個。我的NAS也是限定台灣IP

visa829 06/19 12:24大部分間接手段本來就是降低中獎率

visa829 06/19 12:24總不會有人說開放全球ip比只開放台

visa829 06/19 12:24灣ip還安全吧...

cs8425 06/19 13:19直接wireguard 又快又安全

cs8425 06/19 13:21很閒的可以自己實做一套跳板系統

cs8425 06/19 13:21要針對性攻擊才有辦法打穿

xiaotee 06/19 14:41推情報

PianoGuys 06/19 15:51#1YcTvmcO

PianoGuys 06/19 15:52這篇適用於各種家用架NAS的網路規劃

sdbb 06/19 23:26樓上那篇在storage板

windjammer 06/22 19:16#1YcTvmcO (Storage_Zone) 完整的