10 cách bảo mật giữ cho dữ liệu của bạn an toàn với NAS Synology
10 cách bảo mật giữ cho dữ liệu của bạn an toàn với NAS Synology
Những năm qua đã chứng kiến sự leo thang về các mối đe dọa an ninh mạng. Theo báo cáo của The New York Times , hơn 200.000 tổ chức đã bị tấn công bằng ransomware vào năm 2019, tăng 41% so với năm trước.
Để giúp bạn tự bảo vệ dữ liệu của mình, chúng tôi đã tạo một danh sách các cài đặt bảo mật dữ liệu quan trọng thường bị bỏ qua, bổ sung các cách có thể giúp bạn đảm bảo tính toàn vẹn của dữ liệu.
Lưu ý: Hầu hết các cài đặt được liệt kê bên dưới chỉ có tài khoản người dùng có quyền quản trị mới có thể truy cập và sửa đổi.
Cách 1: Vô hiệu hóa tài khoản quản trị viên mặc định
Tên người dùng quản trị viên phổ biến có thể làm cho NAS Synology của bạn dễ bị tấn công bởi các bên độc hại sử dụng các cuộc tấn công brute-force sử dụng kết hợp tên người dùng và mật khẩu phổ biến. Tránh các tên thông thường như “admin”, “administrator”, “root” * khi thiết lập NAS của bạn. Chúng tôi khuyên bạn cũng nên đặt một mật khẩu mạnh và duy nhất ngay sau khi thiết lập NAS Synology và vô hiệu hóa tài khoản quản trị mặc định của hệ thống **.
Nếu bạn hiện đang đăng nhập bằng tài khoản người dùng “admin”, hãy vào Control Panel > User và tạo một tài khoản quản trị mới. Sau đó đăng nhập bằng tài khoản mới và vô hiệu hóa tài khoản “admin” mặc định của hệ thống.
* “Root” không được phép làm tên người dùng.
** Nếu được thiết lập bằng tên người dùng không phải là “admin”, tài khoản mặc định sẽ bị vô hiệu hóa.
Cách 2: Độ mạnh của mật khẩu
Mật khẩu mạnh bảo vệ hệ thống của bạn khỏi bị truy cập trái phép. Tạo một mật khẩu phức tạp bao gồm các chữ cái viết hoa, chữ số và ký tự đặc biệt theo cách mà chỉ bạn mới có thể nhớ được.
Sử dụng một mật khẩu chung cho nhiều tài khoản cũng là một lời mời đối với tin tặc. Nếu một tài khoản bị xâm nhập, tin tặc có thể dễ dàng kiểm soát các tài khoản khác của bạn. Điều này xảy ra thường xuyên đối với các trang web và các nhà cung cấp dịch vụ khác. Chúng tôi khuyên bạn nên đăng ký với các dịch vụ giám sát công cộng như Have I Been Pwned hoặc Firefox Monitor.
Nếu bạn gặp khó khăn khi ghi nhớ các mật khẩu phức tạp và duy nhất cho các tài khoản khác nhau, trình quản lý mật khẩu (chẳng hạn như 1Password, LastPass hoặc Bitwarden) có thể là giải pháp tốt nhất của bạn. Bạn chỉ phải ghi nhớ một mật khẩu – mật khẩu chính – và trình quản lý mật khẩu sẽ giúp bạn tạo và điền thông tin đăng nhập cho tất cả các tài khoản khác của bạn.
Nếu bạn quản lý NAS Synology xử lý xác thực *, bạn có thể tùy chỉnh chính sách mật khẩu người dùng để thắt chặt các yêu cầu bảo mật mật khẩu cho tất cả các tài khoản người dùng mới. Bạn vào Control Panel > User > Advanced và đánh dấu vào Apply password strength rules trong phần Password Settings. Chính sách này sẽ được áp dụng cho bất kỳ người dùng nào tạo tài khoản mới.
* Các tùy chọn tương tự cũng có sẵn trong gói Máy chủ LDAP và Máy chủ thư mục.
Cách 3: Luôn cập nhật và bật thông báo
Synology phát hành các bản cập nhật DSM thường xuyên để cung cấp các cải tiến về chức năng và hiệu suất cũng như giải quyết các lỗ hổng bảo mật của sản phẩm.
Bất cứ khi nào phát sinh lỗ hổng bảo mật, Nhóm ứng phó sự cố bảo mật sản phẩm (PSIRT) của Synology sẽ tiến hành đánh giá và điều tra trong vòng 8 giờ và phát hành bản vá trong vòng 15 giờ tới để giúp ngăn chặn thiệt hại tiềm ẩn từ các cuộc tấn công zero-day.
Đối với hầu hết người dùng, chúng tôi đặc biệt khuyên bạn nên thiết lập cập nhật tự động để tự động cài đặt các bản cập nhật DSM mới nhất. *
Một điều quan trọng khác cần xem xét là luôn cập nhật mọi thứ khi chúng xảy ra. Thiết lập thông báo trên NAS Synology của bạn và nhận thông báo qua email, SMS, trên thiết bị di động hoặc thông qua trình duyệt web của bạn khi xảy ra các sự kiện hoặc lỗi cụ thể. Nếu sử dụng dịch vụ DDNS của Synology, bạn có thể chọn nhận thông báo khi mất kết nối mạng bên ngoài. Hành động ngay lập tức khi có thông báo về dung lượng bộ nhớ hết dung lượng hoặc khi tác vụ sao lưu và khôi phục không thành công là một phần quan trọng để đảm bảo tính bảo mật lâu dài cho dữ liệu của bạn.
Synology cũng khuyến khích bạn thiết lập Tài khoản Synology của mình để nhận bản tin tư vấn bảo mật và NAS của chúng tôi nhằm cập nhật các bản cập nhật tính năng và bảo mật mới nhất.
* Cập nhật tự động chỉ hỗ trợ các bản cập nhật DSM nhỏ. Các bản cập nhật lớn yêu cầu cài đặt thủ công.
Cách 4: Xác minh 2 bước
Nếu bạn muốn thêm một lớp bảo mật bổ sung vào tài khoản của mình, chúng tôi thực sự khuyên bạn nên bật xác minh 2 bước. Để thực thi xác minh 2 bước trên tài khoản DSM và Tài khoản Synology, bạn sẽ cần thiết bị di động và ứng dụng xác thực hỗ trợ giao thức Mật khẩu một lần dựa trên thời gian (TOTP). Việc đăng nhập sẽ yêu cầu cả bằng chứng xác thực người dùng của bạn và mã 6 chữ số có giới hạn thời gian được truy xuất từ Microsoft Authenticator, Authy hoặc các ứng dụng xác thực khác để ngăn truy cập trái phép.
Đối với Tài khoản Synology, nếu bạn bị mất điện thoại với ứng dụng xác thực *, bạn có thể sử dụng các mã dự phòng được cung cấp trong quá trình thiết lập xác thực 2 bước để đăng nhập. Điều quan trọng là phải giữ các mã này an toàn bằng cách tải xuống ở đâu đó hoặc in chúng ra. Hãy nhớ giữ những mã này an toàn nhưng có thể truy cập được.
Trên DSM, nếu bạn mất trình xác thực, bạn có thể đặt lại xác minh 2 bước làm phương án cuối cùng. Người dùng thuộc nhóm quản trị viên có thể đặt lại cấu hình.
Nếu tất cả tài khoản quản trị viên không thể truy cập được nữa, bạn sẽ cần đặt lại thông tin đăng nhập và cài đặt mạng trên thiết bị của mình. Giữ nút RESET trên NAS của bạn trong khoảng 4 giây (bạn sẽ nghe thấy tiếng bíp), sau đó khởi chạy Synology Assistant để định cấu hình lại thiết bị của bạn. **
* Một số ứng dụng xác thực hỗ trợ các phương pháp sao lưu và khôi phục dựa trên tài khoản của bên thứ ba. Đánh giá các yêu cầu bảo mật của bạn so với sự thuận tiện và các tùy chọn khôi phục sau hậu quả.
** SHA, VMM, tự động hóa thư mục chia sẻ được mã hóa, nhiều cài đặt bảo mật, tài khoản người dùng và cài đặt cổng sẽ được đặt lại.
Cách 5: Chạy Security Advisor
Security Advisor là một ứng dụng được cài đặt sẵn có thể quét NAS của bạn để tìm các sự cố cấu hình DSM, đưa ra gợi ý về những việc bạn có thể cần làm tiếp theo để giữ an toàn cho NAS Synology của mình. Ví dụ, nó có thể phát hiện như: mở quyền truy cập SSH, bất kỳ hoạt động đăng nhập bất thường nào đang xảy ra và các tệp hệ thống DSM bị sửa đổi.
Cách 6: Các tính năng bảo mật DSM cơ bản để thiết lập
Bạn có thể định cấu hình một số cài đặt bảo mật trong tab Security > Auto Block để bảo mật tài khoản người dùng của mình.
Tự động chặn IP
Mở Control Panel và vào phần Security> Auto Block. Bật tính năng tự động chặn để tự động chặn địa chỉ IP của các máy khách không đăng nhập được trong một số lần và khoảng thời gian cụ thể. Quản trị viên cũng có thể đưa vào danh sách đen các địa chỉ IP cụ thể để ngăn chặn các cuộc tấn công brute-force hoặc từ chối dịch vụ tiềm ẩn.
Định cấu hình số lần thử dựa trên môi trường sử dụng và kiểu người dùng mà thiết bị của bạn sẽ thường xuyên phục vụ. Hãy nhớ rằng hầu hết các gia đình và doanh nghiệp sẽ chỉ có một địa chỉ IP bên ngoài cho người dùng của họ và địa chỉ IP thường động và sẽ thay đổi sau một số ngày hoặc vài tuần nhất định.
Bảo vệ tài khoản
Mặc dù Tự động chặn đưa vào danh sách đen các địa chỉ IP đã không thực hiện được quá nhiều lần xác thực, Bảo vệ tài khoản sẽ bảo vệ tài khoản người dùng bằng cách chặn quyền truy cập của ứng dụng khách không đáng tin cậy.
Đi tới Control Panel > Security > Account Protection. Bạn có thể bật Bảo vệ tài khoản để bảo vệ tài khoản khỏi những khách hàng không đáng tin cậy sau một số lần đăng nhập không thành công. Điều này cải thiện tính bảo mật của DSM của bạn và giảm nguy cơ tài khoản trở thành con mồi của các cuộc tấn công bạo lực từ các cuộc tấn công phân tán.
Bật HTTPS
Với HTTPS được kích hoạt, bạn có thể mã hóa và bảo mật lưu lượng mạng giữa NAS Synology của bạn và các máy khách được kết nối, bảo vệ chống lại các hình thức nghe trộm hoặc tấn công trung gian phổ biến.
Đi tới Control Panel > Network > DSM Settings. Đánh dấu vào hộp kiểm Tự động chuyển hướng kết nối HTTP sang HTTPS. Bây giờ bạn sẽ kết nối với DSM qua HTTPS. Trong thanh địa chỉ, bạn sẽ nhận thấy rằng URL của thiết bị của bạn bắt đầu bằng “https: //” thay vì “http: //”. Nếu trước đây bạn đã có một số cài đặt tường lửa hoặc mạng nhất định, bạn có thể cần cập nhật chúng.
Nâng cao: Tùy chỉnh quy tắc Tường lửa
Tường lửa đóng vai trò như một rào cản ảo lọc lưu lượng mạng từ các nguồn bên ngoài theo một bộ quy tắc. Đi tới Control Panel > Security > Firewall để thiết lập các quy tắc tường lửa nhằm ngăn chặn đăng nhập trái phép và kiểm soát truy cập dịch vụ. Bạn có thể quyết định cho phép hoặc từ chối quyền truy cập vào các cổng mạng nhất định theo địa chỉ IP cụ thể, một cách hay để cho phép truy cập từ xa từ một văn phòng cụ thể hoặc chỉ cho phép truy cập vào một dịch vụ hoặc giao thức cụ thể.
Cách 7: HTTPS Phần 2 – Hãy mã hóa
Chứng chỉ kỹ thuật số đóng một vai trò quan trọng trong việc kích hoạt HTTPS, nhưng thường đắt tiền và khó bảo trì, đặc biệt là đối với người dùng không phải là doanh nghiệp. DSM đã tích hợp hỗ trợ cho Let’s Encrypt, một tổ chức phát hành chứng chỉ tự động và miễn phí, để cho phép bất kỳ ai cũng có thể dễ dàng bảo mật kết nối của họ.
Nếu bạn đã có miền đã đăng ký hoặc đang sử dụng DDNS, hãy đi tới Control Panel > Security > Certificate. Nhấp vào Add a new certificate > Get a certificate from Let’s Encrypt, đối với hầu hết người dùng, bạn nên chọn “Set as default certificate” *. Nhập tên miền của bạn để nhận chứng chỉ.
Khi bạn đã có chứng chỉ, hãy đảm bảo rằng tất cả lưu lượng truy cập của bạn đều đi qua HTTPS (như được liệt kê trong cách số 3).
* Nếu bạn đã thiết lập thiết bị của mình để cung cấp dịch vụ thông qua nhiều miền hoặc miền phụ, bạn sẽ cần định cấu hình chứng chỉ nào được sử dụng bởi từng dịch vụ trong Control Panel > Security > Certificate > Configure.
Cách 8: Thay đổi các cổng mặc định
Mặc dù việc thay đổi các cổng HTTP (5000) và HTTPS (5001) mặc định của DSM thành các cổng tùy chỉnh không thể ngăn chặn các cuộc tấn công có chủ đích nhưng nó có thể ngăn chặn các mối đe dọa phổ biến chỉ tấn công các dịch vụ được xác định trước. Để thay đổi các cổng mặc định, hãy đi tới Control Panel > Network > DSM Settings và tùy chỉnh số cổng. Bạn cũng nên thay đổi cổng SSH (22) mặc định nếu bạn thường xuyên sử dụng quyền truy cập shell.
Bạn cũng có thể triển khai một proxy ngược để giảm các vectơ tấn công tiềm ẩn đến chỉ các dịch vụ web cụ thể để tăng cường bảo mật. Một proxy ngược hoạt động như một trung gian cho các giao tiếp giữa máy chủ nội bộ (thường) và các máy khách từ xa, ẩn một số thông tin nhất định về máy chủ, chẳng hạn như địa chỉ IP thực của nó.
Cách 9: Tắt SSH / telnet khi không sử dụng
Nếu bạn là người dùng thành thạo thường yêu cầu quyền truy cập shell, hãy nhớ tắt SSH / telnet khi không sử dụng. Vì quyền truy cập root được bật theo mặc định và SSH / telnet chỉ hỗ trợ đăng nhập từ tài khoản quản trị, tin tặc có thể cưỡng bức mật khẩu của bạn để truy cập trái phép vào hệ thống của bạn. Nếu bạn cần luôn có dịch vụ thiết bị đầu cuối, chúng tôi khuyên bạn nên đặt mật khẩu mạnh và thay đổi số cổng SSH mặc định (22) để tăng tính bảo mật. Bạn cũng có thể xem xét việc tận dụng VPN và giới hạn quyền truy cập SSH chỉ đối với các IP cục bộ hoặc IP đáng tin cậy.
Cách 10: Mã hóa các thư mục chia sẻ
DSM hỗ trợ mã hóa AES-256 cho các thư mục chia sẻ của bạn để ngăn chặn việc khai thác dữ liệu khỏi các mối đe dọa vật lý. Quản trị viên có thể mã hóa các thư mục được chia sẻ mới và hiện có.
Để mã hóa các thư mục chia sẻ hiện có, hãy đi tới Control Panel > Shared Folder và Chỉnh sửa thư mục. Thiết lập khóa mã hóa trong tab Mã hóa và DSM sẽ bắt đầu mã hóa thư mục. Chúng tôi thực sự khuyên bạn nên lưu tệp khóa được tạo ở một vị trí an toàn, vì không thể khôi phục dữ liệu đã mã hóa nếu không có cụm mật khẩu được sử dụng hoặc tệp khóa.
Tính toàn vẹn của dữ liệu
Bảo mật dữ liệu được liên kết chặt chẽ với tính nhất quán và độ chính xác của dữ liệu của bạn – tính toàn vẹn của dữ liệu. Bảo mật dữ liệu là điều kiện tiên quyết để đảm bảo tính toàn vẹn của dữ liệu, vì truy cập trái phép có thể dẫn đến giả mạo dữ liệu hoặc mất dữ liệu, khiến dữ liệu quan trọng của bạn trở nên vô dụng.
Có hai biện pháp bạn có thể thực hiện để đảm bảo tính chính xác và nhất quán của dữ liệu: bật tổng kiểm tra dữ liệu và chạy S.M.A.R.T. kiểm tra thường xuyên.
Xem thêm về NAS Synology:
