Hardening DSM: jak zabezpieczyć Synology wystawionego do internetu

Prędzej czy później właściciel NAS-a chce się dostać do plików spoza domu i otwiera port na routerze. Od tej chwili Synology jest jednym z celów, które boty skanują całą dobę. Log Center potrafi to pokazać: próby logowania na konto admin z adresów z całego świata.

Kolejność idzie od ustawień do zrobienia od razu do tych na wolną chwilę. Same ustawienia, bez teorii.

1. Wyłącz konto admin i zmień domyślne porty

Pierwsze, czego próbują boty, to loginy admin i administrator. Jeśli takie konto istnieje, połowę roboty robisz za atakującego.

• Utwórz nowe konto administratora o nietypowej nazwie.
• Zaloguj się na nie i wyłącz (nie usuwaj) wbudowane konto admin w Panelu sterowania → Użytkownik i grupa.
• Zmień domyślne porty DSM (5000 dla HTTP, 5001 dla HTTPS) w Panelu sterowania → Portal logowania → DSM. Sama zmiana portów niczego nie zabezpiecza (security by obscurity), za to ucina sporo automatycznego szumu w logach.

2. Wymuś 2FA dla całej grupy administratorów

Włącz uwierzytelnianie dwuelementowe na swoim koncie (Osobiste → Zabezpieczenia), a potem wymuś je w Panelu sterowania → Bezpieczeństwo → Konto. Wymuszenie można ustawić dla grupy administratorów, dla wszystkich użytkowników albo dla wybranych kont i grup. Zrób to: hasło może wyciec (powtarzane, phishing, wyciek z innego serwisu), a drugi składnik bywa jedyną rzeczą, która zostaje między atakującym a Twoimi danymi.

Użyj aplikacji TOTP, np. Synology Secure SignIn albo Google Authenticator, lub klucza sprzętowego. DSM obsługuje też zatwierdzanie logowania w aplikacji.

Jedno zastrzeżenie: 2FA obejmuje także SSH, SFTP i rsync przez SSH. Według dokumentacji Synology Hyper Backup i Shared Folder Sync przez rsync z szyfrowaniem SSH nie obsługują 2FA i po jej włączeniu przestają działać. Jeśli kopie idą tą drogą, sprawdź to przed wymuszeniem; więcej o kopiach w wpisie o backupie 3-2-1.

3. Blokowanie logowań i zapora

Te trzy mechanizmy zamieniają lawinę prób logowania w kilka prób i blokadę.

Automatyczne blokowanie (Panel sterowania → Bezpieczeństwo → Ochrona) blokuje adres IP po zadanej liczbie nieudanych logowań w zadanym czasie, np. po 5 próbach w ciągu 5 minut. Blokada może wygasać po ustawionej liczbie dni albo zostać na stałe. Ochrona konta (Bezpieczeństwo → Konto) chroni konta przed niezaufanymi klientami, którzy zbyt często mylą się przy logowaniu, więc włącz ją obok blokowania adresów.

Zaporę (Bezpieczeństwo → Zapora sieciowa) trzeba najpierw włączyć, a potem zbudować białą listę reguł:

• jeśli dostęp jest potrzebny tylko z Polski, utwórz regułę ze źródłem „Lokalizacja” i przepuść tylko PL (jedna reguła przyjmuje do 15 lokalizacji); to odcina ruch z reszty świata,
• usługi, które nie muszą być publiczne (SMB, AFP, panele wewnętrzne), ogranicz do sieci lokalnej, np. 192.168.0.0/16 i 10.0.0.0/8,
• na końcu ustaw domyślną akcję odmowy (Deny) dla wszystkiego, co nie pasuje do reguł.

Konfiguruj zaporę z sieci lokalnej i miej zapasowe wejście, żeby nie odciąć samego siebie.

4. Najlepszy ruch: VPN zamiast wystawiania DSM

Największy skok bezpieczeństwa daje niewystawianie panelu DSM na świat. Wystaw tylko VPN, łącz się nim z domową siecią, a NAS-a trzymaj lokalnie. Opcje:

• WireGuard jest szybki i prosty w konfiguracji, ale pakiet VPN Server od Synology go nie obsługuje (oferuje PPTP, OpenVPN i L2TP/IPSec), więc potrzebny jest kontener albo pakiet zewnętrzny,
• pakiet VPN Server od Synology (OpenVPN, L2TP/IPSec) jest oficjalny i konfiguruje się go w DSM bez dodatkowych narzędzi,
• router z WireGuardem lub OpenVPN jest jeszcze lepszy, bo wtedy NAS nie wystawia niczego.

Po zestawieniu VPN dostajesz się do DSM jak z domu, a z internetu port panelu jest zamknięty. Bot nie zaatakuje tego, czego nie widzi.

5. Gdy musisz wystawić usługi: reverse proxy i HTTPS

Czasem naprawdę potrzebny jest publiczny dostęp do jednej aplikacji, np. galerii zdjęć dla rodziny. Wtedy:

• wystaw ją przez reverse proxy DSM (Panel sterowania → Portal logowania → Zaawansowane → Reverse Proxy) pod subdomeną, a nie przez surowy port,
• dodaj certyfikat Let's Encrypt (Panel sterowania → Bezpieczeństwo → Certyfikat); DSM odnawia go automatycznie, ale do weryfikacji domeny i odnowienia port 80 musi być otwarty na NAS-ie i na routerze,
• sprawdź profil TLS/SSL (Panel sterowania → Bezpieczeństwo → Zaawansowane): domyślna zgodność pośrednia dopuszcza TLS 1.3 i 1.2, nowoczesna tylko 1.3, a starsza zgodność wsteczna także 1.1 i 1.0, więc jej unikaj; profil można ustawić osobno dla każdej usługi,
• rozważ autoryzację przed aplikacją (np. Authelia lub Authentik w kontenerze), jeśli sama aplikacja ma słabe logowanie.

Nigdy nie wystawiaj panelu DSM (port 5001) bezpośrednio. Jeśli zdalne zarządzanie jest konieczne, to tylko przez VPN. Jak postawić aplikacje w kontenerach za reverse proxy, opisuje wpis o Container Managerze.

6. Aktualizacje: nudne, ale tu giną NAS-y

Synology wydaje aktualizacje z poprawkami krytycznych luk i oznacza je jako ważne. W Panelu sterowania → Aktualizacja i przywracanie:

• włącz automatyczną instalację ważnych aktualizacji DSM,
• aktualizuj też pakiety w Centrum pakietów, bo one również mają podatności,
• jeśli model wypadł ze wsparcia i nie dostaje już łatek, nie powinien być wystawiony do sieci.

7. Powiadomienia i logi

• Powiadomienia (Panel sterowania → Powiadomienia) na e-mail lub push o zdarzeniach systemowych, np. dostępnych aktualizacjach, braku miejsca czy nieudanych zadaniach backupu.
• Log Center: co jakiś czas sprawdź, kto i skąd się logował. Nietypowa lokalizacja albo pora to sygnał.
• Wbudowany Security Advisor (Menu główne → Security Advisor) skanuje ustawienia DSM i wskazuje ryzykowne konfiguracje, więc wyłapie oczywiste dziury. Przejdź po jego rekomendacjach.

8. Higiena kont i usług

• Stosuj zasadę minimalnych uprawnień: użytkownicy dostają dostęp tylko do folderów, których potrzebują. Nie każdy musi być w grupie administrators.
• Wyłącz usługi, których nie używasz (Telnet, SSH, gdy niepotrzebny). SMB1 wyłącz zawsze: w ustawieniach SMB ustaw minimalny protokół wyżej niż SMB1, bo Synology odradza go ze względu na znane luki związane z ransomware.
• Dane wrażliwe trzymaj w szyfrowanych folderach współdzielonych.
• Do zadań (backup, aplikacje) używaj osobnych kont zamiast admina.

Priorytety w skrócie

Gdybyś miał zrobić tylko trzy rzeczy dziś:

1. Wyłącz admin, włącz i wymuś 2FA.
2. Ustaw automatyczne blokowanie i zaporę z domyślną odmową oraz listą dozwolonych lokalizacji.
3. Schowaj DSM za VPN-em zamiast wystawiać panel do internetu.

Reszta to dokładanie warstw. Żadna z tych zmian nie jest trudna ani czasochłonna. NAS z zamkniętym panelem, drugim składnikiem logowania i blokadą po kilku błędnych próbach niewiele ma wspólnego z urządzeniem skonfigurowanym „domyślnie”.