Synology Nas - Tăng bảo mật trên DSM 7.x

Để tăng cường bảo mật cho thiết bị NAS Synology trước các nguy cơ tấn công mã độc tống tiền/ransomware gần đây

bạn nên áp dụng ngay các biện pháp khẩn cấp sau ngay lập tức

Bảo mật tài khoản người dùng

1. Vô hiệu hóa tài khoản "admin" mặc định: Control Panel > User & Group
   Hacker luôn dò quét tài khoản này đầu tiên. Hãy tạo một tài khoản quản trị mới với tên bất kỳ, sau đó vào Control Panel > User & Group để tắt tài khoản admin gốc.
2. Bật xác thực 2 bước (2FA): Control Panel > Security > Account.
   Kích hoạt 2FA cho tất cả các tài khoản người dùng, đặc biệt là tài khoản quản trị (admin).
3. Tạo mật khẩu phức tạp: Đặt cấu hình độ dài tối thiểu, yêu cầu chứa ký tự đặc biệt, số và chữ hoa.

Kiểm  truy cập và kết nối mạng

1. Đổi cổng mặc định cho Nas: Control Panel > External Access > Advanced hoặc Control Panel > Login Portal > DSM
   Thay đổi cổng 5000 (HTTP) và 5001 (HTTPS) sang cổng phức tạp hơn. Nguyên tắt là chọn port trong khoảng1024 đến 65535 và tránh các cổng phổ biến như 80, 443, 21, 22, 3389. Ví dụ 1 số ngẫu nhiên nào đó như 15000, 15001. Từ giờ bạn truy cập nas qua cổng mới này (Ví dụ trước đây là 192.168.1.100:5001 thì nay phải gõ 192.168.1.100:15001).
2. Chuyển qua giao thức HTTPS:Control Panel > Login Portal > DSM
   Tích chọn ô "Automatically redirect HTTP connection to HTTPS for DSM desktop" để hệ thống luôn tự động mã hóa kết nối.
3. Bật tính năng Auto Block IP và DoS Protection: Vào Control Panel > Security để kích hoạt cấu hình chặn ngay các IP đăng nhập sai nhiều lần và bật bảo vệ chống tấn công từ chối dịch vụ (DoS).
4. Cấu hình Firewall (Tường lửa): Control Panel > Security > Firewall. Thiết lập luật tường lửa (Firewall) chỉ cho phép các dải IP nội bộ hoặc IP quốc gia được phép kết nối đến NAS. (bài chi tiết Thiết lập Firewall)
5. Hạn chế mở port (Port Forwarding): Không mở port DSM trực tiếp ra Internet (trên Router). Nếu cần truy cập từ xa, hãy sử dụng giải pháp an toàn như Tailscale hoặc thiết lập một server VPN riêng.

Cập nhật hệ thống và quét lỗ hổng

Luôn vá lỗi:

1. Cập nhật DSM: Control Panel > Update & Restore. Cập nhật hệ điều hành lên phiên bản mới nhất để tránh các lỗ hổng bảo mật cũ bị khai thác.
2. Cập nhật Package: Vàp Package center kiểm tra và cập nhật các gói ứng dụng (Package Center) thường xuyên.
3. Chạy Security Advisor: Sử dụng công cụ kiểm tra bảo mật có sẵn của Synology để quét định kỳ hệ thống, phát hiện các thiết lập sai hoặc mã độc tiềm ẩn.

Giới hạn truy cập từ Internet

• Tạm thời tắt QuickConnect và Port Forwarding: Control Panel > Domain/LDAP. Chuyển qua xác thực bằng OTP (tắt QuickConnect bạn không thể xác thực 2 lớp bằng cách nhấn Approve để login nữa)
  Nếu không thực sự cần thiết phải truy cập NAS từ bên ngoài internet, hãy tắt QuickConnect và ngắt chuyển tiếp cổng (port forwarding) trên modem/router để cô lập NAS khỏi mạng công cộng.
• Tắt ssh: Control Panel > Terminal & SNMP
• Dùng VPN truy cập nas: Nếu bắt buộc phải truy cập từ xa, hãy sử dụng VPN riêng tư (như VPN Plus hoặc TunnelBlick trên router) thay vì mở trực tiếp các cổng của NAS ra internet.

Sao lưu và phục hồi dữ liệu (Backup)

• Chiến lược Backup 3-2-1: Đây là nguyên tắc vàng của dân IT
  • 3 bản dữ liệu: Copy ra ít nhất 2 bản (1 bản gốc và 2 bản copy).
  • 2 loại phương thức lưu trữ: Lưu trữ trên 2 loại thiết bị vật lý khác nhau (ví dụ: một bản trên NAS, một bản trên ổ rời) đề phòng thiết bị hư hỏng.
  • 1 bản cất ở vị trí khác (Offsite): Giữ ít nhất 1 bản sao lưu ở chổ khác nơi bạn đang ở (như ở nhà khác, hoặc Google Drive) đề phòng hoả hoạn, thiên tai.
• Sử dụng Snapshot (Ảnh chụp nhanh): Kích hoạt tính năng chụp ảnh hệ thống (Snapshot Replication) và tạo các bản snapshot bất biến (immutable snapshots) để có thể khôi phục nhanh nếu không may bị mã hóa dữ liệu. (xem bài chi tiết Snapshot Replication - phục hồi dữ liệu)
  • Cài đặt Snapshot Replication từ Package Center 

    

  • Trong ứng dụng Snapshot Replication 
    • Snapshorts > chọn thư mục (cần sao lưu) > Settings:
      • Schedule kiểm chọn
        • Enable snapshot schedule
        • Enable immutable: Đây là lá chắn tối thượng trên DSM 7.2+. Khi bật tính năng này, ngay cả khi hacker chiếm được tài khoản Admin cao nhất của NAS cũng không thể xóa các bản snapshot này cho đến khi hết hạn.
      • Retention > kiểm chọn Smart Retention policy. Nhấn Set Rule 

Bạn có thể xem chi tiết hướng dẫn từ tài liệu chính thức qua trang hỗ trợ Synology Security Guidance.