Absicherung Synology-Systeme

[Kingscus]

Hallo,
ich würde gerne einmal zusammentragen, was man machen kann, um ein Synology-NAS als Standalonegerät abzusichern.

1. Starkes Passwort
2. Adminkonto deaktivieren
3. Updates regelmäßig installieren
4. Encrypted shares verwenden, sodass bei Neustart ein Passwort zum Mounten eingegeben werden muss
5. (2-Faktor-Authentifizierung sollte man wohl nicht verwenden, da die wohl fehlerhaft ist)
6. IP-Adresse bei vielen fehlerhaften Anmeldungen blockieren
7. Unnötige Dienste deinstallieren/deaktivieren
8. Von HTTP auf HTTPS immer umleiten
9. Keine Freigabe ins Internet
10. Standard-Ports ändern

Vieles ist auch unter https://blog.synology.com/ger/wp-content/uploads/2022/09/DATA-SECURITY-CHECKLIST.pdf gelistet. Es ist das erste mal, dass ich eine Synology absichere und will es gleich richtig machen. Aus meiner Sicht deckt das eigl alles ab. Habt ihr bei euch noch andere Maßnahmen umgesetzt, die Synology beispielsweise nicht in seiner Checkliste hat und die ihr für sinnvoll erachtet?

 

[Sunweb]

Punkt 9 und alle andere Punkte erübrigen sich.

 

[Freestyler]

Wenn du Punk 9. umsetst sehe ich keinen grossen Mehrwert eines NAS.

 

[Sunweb]

Dann hast du nicht verstanden, was ein NAS ist.

 

[Freestyler]

oh erleuchte mich

 

[Kingscus]

Der Mehrwert ist eine zentrale Ablage für Datensicherungen ohne einen Eigenbau machen zu müssen
Ich würde nie im Leben ein NAS an das Internet hängen.

Ansonsten möchte ich darauf hinweisen, dass das Thema des Threads nicht die Frage nach der Sinnhaftigkeit eines NAS ist, sondern die Frage nach Sicherheitsmaßnahmen, die ggf. zu treffen sind

 

[Poink]

11. Feuerlöscher ... just in case

 

[Freestyler]

Der Mehrwert ist eine zentrale Ablage für Datensicherungen ohne einen Eigenbau machen zu müssen
Ich würde nie im Leben ein NAS an das Internet hängen.

Ansonsten möchte ich darauf hinweisen, dass das Thema des Threads nicht die Frage nach der Sinnhaftigkeit eines NAS ist, sondern die Frage nach Sicherheitsmaßnahmen, die ggf. zu treffen sind

Zentrale Ablage? Und dann nur im LAN erreichbar? Ich sehe den Sinn in einer eigenen Cloud Lösung. Damit ich meine Daten überall habe, bzw. von überall auf das NAS speichern kann.

 

[Kingscus]

Nur weil du den Sinn eines NAS rein in einer Cloud Lösung siehst, widerspricht das nicht dem reinen Mehrwert eines NAS für mich, wenn es als zentrale Ablage für Datensicherungen eingesetzt wird. Irgendwo muss man seine Datensicherungen ablegen. Sei es ein Server oder NAS. Und ein NAS bietet für meinen Anwendungsfall einen gezielten Mehrwert, da ich einen Nutzen habe. Die alternativen für Datensicherungen wären direkt in die Cloud, was oft am Upload scheitert oder der Einsatz von externen Medien, was manuellen Aufwand bedeutet.
Ich würde nie ein System mit "sensiblen" Daten an das Internet hängen.

 

[darkiop]

Zentrale Ablage? Und dann nur im LAN erreichbar?

Und per VPN auch von Extern. Aber niemals per Synology Relay Server (Quick-Connect) oder gar per Port-Weiterleitung ins offene Netz ...

Auch wenn Punkt 9 die anderen Punkte Grundsätzlich obsolet macht, einen Fehler ist es nicht diese ebenfalls anzuwenden.
Ich würde noch
11. Firewall
ergänzen.

 

[D.M.X]

Ich denke zwar nicht das sich alle Punkte komplett erledigen denn auch im LAN können Nutzer sein die nicht alles dürfen sollen, aber @Sunweb spricht schon mehr oder weniger den wichtigsten Punkt an.

Das NAS nicht öffentlich aus dem Internet zugänglich zu machen ist wohl das vernünftigste. Ich verzichte daher auch auf Geschichten wie Admin Konto deaktivieren und encrypted shares.

 

[jodd2021]

"Noch" 17 Passwörter und die bitte mit 368 Zeichen und das alles fein Verschlüsseln und morgen ganz laut Hilfe rufen weil man sich selber ausgesperrt hat.

So in etwas endet das ganze. Nicht von außen zugänglich machen und den ganzen anderen "Quark" einfach mal weglassen. Oder traust du dir selber nicht über den Weg?

 

[Pako1997]

Die Verschlüsselung der Festplatten hilft dir (nahezu) nur wenn jemand anders physischen Zugriff auf die NAS hat. Bei Automount sehe ich hier kein signifikantes Risiko, das kannst du ruhig aktiviert lassen.

 

[Pyrukar]

ich wäre echt glücklich, wenn ich eine möglichkeit hätte meine NAS ins Internet zu bringen, aber mein Monopolistischer Internetanbieter ist da nicht für zu begeistern. also entweder nutze ich einen Mobilvertrag (von denen das auch viele nicht können/dürfen) oder ich bleib eben lokal dafür muss ich mir um die Sicherheit nicht so große Sorgen machen

 

[Kingscus]

@Pyrukar
Wieso geht es nicht? Mit IPv6 sollte das entsprechend gehen.

@Pako1997
Die Absicherung ist nicht nur auf Netzwerkebene gedacht, sondern auch bei Diebstahl.

 

[blackshuck]

Snapshots aktivieren und regelmäßig Backups erstellen

 

[NobodysFool]

Gerade wenn Du das NAS als Speicherort für Backups nutzt geht noch zusätzlich:

1. Mit Zugriffsrechten arbeiten. Extra Backupbenutzer anlegen, der allein auf die betreffende(n) Freigabe(n) Schreibrechte hat. Der Standard-PC-Nutzer hat dort keine Rechte oder nur Leserechte. Die Backupsoftware verbindet sich nur über diesen Backup-User mit dem NAS. Somit hat vom PC aus Ransomware keine Rechte, um die Backups anzutasten.

2. Sofern das NAS das unterstützt: Snapshots. Als Absicherung gegen Ransomware für die Freigaben, auf die man vom PC aus Schreibrechte braucht. Ransomware kann zwar Dateien verschlüsseln, diese werden aber neu geschrieben, während die unverschlüsselten Ursprungsversionen in den Snapshots erhalten bleiben und wiederhergestellt werden können. Kann man zusätzlich als doppelte Absicherung auch für die gespeicherten Backups machen.

 

[TomH22]

Es ist das erste mal, dass ich eine Synology absichere und will es gleich richtig machen.

Ohne das Du Deine Sicherheitsanforderungen, Deine Anforderungen an Nutzbarkeit und Komfort und die Restrisiken die Du bereit bist zu tragen, spezifizierst, kann man Maßnahmen nicht bewerten.
Genauso ist die Frage gegen was Du Dich absichern möchtest.

Beispiel:
Am Sichersten wäre Dein NAS wenn Du es abgeschaltet, ohne Netzwerkkabel in einen Tresor stellen würdest und es dort nur bei Bedarf herausholst und anschließt.
Nur wäre der Komfort und Nutzwert des NAS dann sehr gering, und Du wärst mit einer USB-Festplatte besser bedient

2. Adminkonto deaktivieren

Das ist eine Synology Standard-Empfehlung. Bringt natürlich nur was, wenn man nicht mit seinem Standard-User alle Rechte gibt.
Insofern sollte man mindestens zwei Accounts verwenden:

• Einen Account für die Verwaltung bei DSM Oberfläche, mit entsprechenden Privilegien
• Einen Account für die Remote Zugriffe z.B. per SMB

3. Updates regelmäßig installieren

Grundsätzlich richtig. Allerdings muss man immer daran denken, das ein fehlerhaftes Update die Verfügbarkeit des Systems beeinträchtigen kann. D.h. auch hier tauscht man ein Risiko (veraltete Software) gegen ein Anderes (Verfügbarkeit)

4. Encrypted shares verwenden, sodass bei Neustart ein Passwort zum Mounten eingegeben werden muss

Die sichern Dich gegen das Risiko ab, das jemand in Dein Haus einbricht, Dein NAS klaut und dann auf die Daten zugreifen kann. Im Gegenzug kann es bedeuten, das Dein NAS nach einem unplanmäßigen Reboot (z.B. Stromausfall) nicht selber wieder betriebsbereit ist. Ich war z.B. früher öfter auf Geschäftsreise, da war es wichtig, da ich Familie habe, dass die Technik auch ohne mich als Admin funktioniert.

5. (2-Faktor-Authentifizierung sollte man wohl nicht verwenden, da die wohl fehlerhaft ist)

Zur lokalen 2FA von Synology kann ich jetzt nichts sagen, da ich sie noch nie ausprobiert habe. Aber grundsätzlich zu 2FA: Sie ist sehr wertvoll und nützlich wenn

• Man nicht Sicherstellen kann, das ein Passwort ausspioniert wird. Das kann z.B. im einfachsten Fall ein Großraumbüro sein, wo man nicht sicher sein kann, ob man beim Eintippen des Passwortes auf Video aufgezeichnet wird oder man das Passwort auf Geräten eingeben muss, die einem nicht gehören.
• Wenn man aus technischen oder Komfortgründen kein super starkes Passwort verwenden kann/möchte (z.B. möchte ich auf meinem Handy kein 20-stelliges kryptisches Passwort voller Sonderzeichen eingeben müssen)

Der Risiko von 2FA ist, dass man den Zugriff auf den 2ten Faktor verliert oder die notwendige Infrastruktur dafür gestört ist. Also auch hier tauscht man Sicherheit gegen Verfügbarkeitsrisiken ein.
D.h. bei 2FA muss man sicher immer Gedanken darüber machen, wie man "wieder reinkommt". Gleichzeitig schwächt das die 2FA natürlich wieder.

Zentrale Ablage? Und dann nur im LAN erreichbar? Ich sehe den Sinn in einer eigenen Cloud Lösung.

"Private Cloud" ist ein möglicher Use Case eines NAS. Aber eben nicht der Einzige. Insofern gibt es zwischen Dir und dem TE keinen Widerspruch.
Allerdings bedingen verschiedene Use Cases auch verschiedene Strategien zur Absicherung.

ich würde nie ein System mit "sensiblen" Daten an das Internet hängen.

Kannst Du genauer spezifizieren, was für Dich "an das Internet hängen" heißt? Meinst Du damit Zugriff von außen zu ermöglichen, oder meinst Du damit, dass dem NAS ausgehende Zugriffe ins Internet ermöglichst werden (z.B. um Synology Updates zu laden)

Irgendwo muss man seine Datensicherungen ablegen.

Du denkst hoffentlich auch daran, ein Backup von den Daten auf dem NAS zu machen?
Ein NAS ist zwar durchaus eine gute erste Sicherungststufe, aber da es in der Regel immer Online ist, keine sehr gute Lösung gegen z.B. Ramsonware.

Das wichtiges an Einem Sicherheitskonzept ist, dass Du Dir Gedanken über Desaster-Recovery Fälle machst:

• Hardware/Softwaredefekt (NAS "gebrickt")
• Wasserschaden
• Feuer
• Ramsonware
• Erfolgreicher Cyberangriff (d.h. trotz Deiner ganzen Massnahmen wurde Dein NAS gehackt)
• Einbruch
• Dummheit der Benutzer inkl. Dir selber (ich schreibe das zwar als letzten Punkt, aber eigentlich ist es nach wie vor die Häufigste Ursache für Datenverluste)

 

[NobodysFool]

Ein NAS ist zwar durchaus eine gute erste Sicherungststufe, aber da es in der Regel immer Online ist, keine sehr gute Lösung gegen z.B. Ramsonware.

Gerade gegen Ransomware lässt sich ein NAS sehr gut absichern: Zugriffsrechte entsprechend wie ich oben erwähnt habe für darauf gespeicherte Backups begrenzen. Snapshots um verschlüsselte Dateien einfach wiederherstellen zu können. Und Backups braucht man sowieso immer, egal worauf Daten gespeichert sind.

 

[h3@d1355_h0r53]

Ich würde nie ein System mit "sensiblen" Daten an das Internet hängen.

Sitzt du jetzt in der Bibliothek an einem fremden Rechner? Oder hängt dein Smartphone mit sensiblen Daten wie Telefonnummern, Adressen und Geburtstagen etwa im Internet? Oder gar dein PC?
Woher weißt du, dass auf einem fremden NAS sensible Daten liegen?