fortknox schrieb:
Auch um den Ransomware Attacken etc. zu entgehen.
Das musst du mir einmal genauer erklären, welche Ransom-Software du im genauen meinst. Ich mache viel mit NAS-Systemen. Ein großer Teil ist davon Synology bzw. DSM. Mir ist nichts dergleichen in meinem Zeitraum und in den letzten Jahren dazu bekannt.
Ich halte deine Aussage nur für eine Phrase, um noch einmal Synology eins mitzugeben als Konkurrenz zu deinem System. Hast du überhaupt einmal eine DiskStation eingerichtet, betrieben oder hast du das alles nur vom Hörensagen?
Ich wäre der Letzte, der nicht mit den Herstellern hart ins Gericht geht, aber die Aussage stimmt einfach nicht. Die großen Hersteller machen einen guten Job, was die Sicherheit angeht, wenn man bedenkt, dass viele Anfänger und User durch Selbstüberschätzung und mit schlechten oder falschen Einstellungen ihrer Geräte ins Internet hängen.
Auch die Bots, welche bekannte Ports abfragen, sind kein Problem. Das kommt von der Menge ungepflegter IoT- und Chinageräten und ist nichts Neues. Das betrifft jedes Gerät, was vom Internet erreichbar ist, auch deinen Router. Nur werden diese Anfragen nicht bei allen Geräten protokolliert. Wenn also nicht steht, heißt es eben nicht, dass es auch keine Anfragen gab! Diese Bots sind auch kein Hackerangriff. Sie versuchen nur bestimmte Ports abzufragen und mithilfe des Standardpasswortes einzuloggen. Ein Ändern der Standardports kann helfen, aber ich würde das nicht überbewerten, weil es eben nur eine Frage der Zeit ist bei einem Portscanner, sofern Interesse besteht. Auch eine regelmäßige Zwangstrennung kann helfen, ist aber kein Wundermittel. Bei vielen Usern bleibt die externe IP bis zu 6 Monaten erhalten. Bei Businesstarifen mit fester IP hat sich das sowieso erledigt. Da ist denn genug Zeit, um die Ports abzuklopfen. Auch haben die Hersteller entsprechende Schutzmechanismen ins System gegen diese Anfragen integriert. Dazu kommen noch weitere Möglichkeiten wie fail2ban, blocklist.de oder bezogen auf Synology das
Update Blocklist-Script von Stephan Geisler alias geimist. Es gibt also genügend Möglichkeiten, auch diese Anfragen zu beschränken.
Die paar Verschlüsselungen, welche es auf privaten NAS gab, kamen aber immer von einem infizierten Gerät im Netzwerk. Das ist seit langem die größte Gefahr und auch so bekannt. Wenn dieser NAS über eine Netzwerkfreigabe eingebunden ist, breitet sich die Ransom-Software so lange aus, bis sie netzwerktechnisch nicht mehr weiter kommt. Auch da hat ein User wiederholt einen Anhang geöffnet und wieder geklickt. Soll das jetzt die Schuld von Synology oder Qnap sein? Ich denke nicht!
fortknox schrieb:
Habe von Anfang an auf Unraid gesetzt.
Hat bisher perfekt geklappt.
Man kann sich gängeln lassen oder nach besseren Alternativen suchen.
Bevor du dein unRAID in bodenlos lobst, sollte man aber auch wissen, dass dort nicht alles rund läuft. Zum einen ist es der Umgang mit Usern und Features, welches starke Ähnlichkeiten zu Plex aufweist, dazu das Abo- und Preismodell, was jederzeit wieder angepasst werden kann als auch die Menge an Nachfragen, ob die Version xyz stabil genug ist zum Updaten. Diskussionen gibt es dazu auch hier im Forum. Ich hätte ja Verständnis für einen Beta-Channel und einen Releasezweig, aber so ein Herumgezerre ist doch ein Witz. Von einem Release erwarte ich eine entsprechende Prüfung und Sicherheit. Ähnlich sieht es auch bei TrueNAS aus. Beide sind zwar keine schlechten Ansätze, aber eben auch nicht das Nonplusultra. Diese Systeme zu installieren ist auch kein Problem und sollte den Interessierten nicht überfordern. Diese Systeme aber immer als Goldstandard zu verkaufen, stimmt aber nicht und nerven nur ab. Jeder soll seine eigene Meinung haben und das System seiner Wahl nutzen, aber man sollte die Vergleiche auch fair behandeln. Um einen fairen Vergleich zu haben, sind viele Sachen zu beachten, eben auch den Schutz der Unerfahrenen.
Auch ein neuer NAS ist nicht im Internet erreichbar. Alles geschieht auf Einwilligung und nachträgliche Einrichtung im NAS und Router durch den User. Auf mögliche Gefahrenstellen wird ebenfalls hingewiesen, wie auf eine 2FA oder das Ändern des Admin-Kontos. SSH ist genauso wenig aktiviert. Eine extra Firewall ist auch noch vorhanden. Wenn der User kein Interesse hat, sich mit dem System auseinanderzusetzen, kann das ja nicht dem Hersteller zugeschoben werden! Wie soll der Hersteller die User vor sich selbst schützen? Ich finde, mehr geht einfach nicht, dann muss man es sein lassen! Das wäre bei einigen eh der bessere Weg.
