Hackers försöker komma in på min Synology NAS.

Steg ett är att avaktivera Admin kontot.

Som läget är nu så vet hackarna att användarnamnet från fabrik är Admin och de prövar med det användarnamnet och olika lösenord. Om du istället skapar ett annat konto med ett annat användarnamn som har samma rättigheter som Admin och avaktiverar kontot Admin så blir allting mycket säkrare. Då måste hackarna gissa rätt på både användarnamn och lösenord, och inte bara lösenordet.

Och använd enbart kinesiska, koreanska, japanska tecken samt emojis för användarnamnet så blir det extra säkert.

[/ironi]

Allvarligt, se under alla omständigheter till att ha ett lösenord som inte GÅR att testa sig fram till. Saker som att byta namn på användare, byta lösenord var tredje månad, byta port och liknande kan teoretiskt stoppa vissa attacker, men i praktiken blir bara saker jobbigare utan att man vinner någonting på det.

Det är en meningslös funktion om du har ett lösenord som är svårt att gissa.
Har du inte det, varför?

Ett lösenord som Huytsc65 skulle ta ~7000 år att gå igenom alla möjliga kombinationer, förutsatt att du lyckas få den stackars NASen att hantera 1000 inloggningsförsök per sekund.

https://www.grc.com/haystack.htm

Inte helt lätt faktiskt att få en helt optimal lösning. Det beror lite på varför man har NAS:en exponerad. Jag har exempelvis en av mina tre NAS:ar exponerad. Men det är medvetet beslut. Jag gör det eftersom hela mitt kamerasystem hemma rullar på Synology Surveillance System och inga notiser lär nå min mobil om jag inte har kontakt med min NAS. Sure, jag kan använda VPN men då måste VPN vara igång 24/7 på mobilen, det har jag inte lust att ha igång på de sättet.

Men i mitt fall så kör jag med:
* Admin kontot disablat.
* Skapat ett nytt admin-konto som har ett icke standard username.
* Geoblockar med pfBlockerNG som är ett paket som är installerat på min Netgate 6100 som kör pfSense.
* Ser till att alltid hålla min NAS på den senaste mjukvaran.
* Autobannar misslyckade inloggningar.

Jag hade tidigare en reverse-proxy som front för min NAS. Men den va inte kompatibel med allt som jag körde på NAS:en. Jag har för mig det blev problem med kamerorna när jag hade den sist. Något som också hade varit smart hade nog varit att lägga NAS:en på ett eget VLAN som inte kan nå det interna nätverket.

Trevligt att någon iallafall läste inläggen. Jag skrev, precis som du påpekar, "mot nätet direkt" och hänvisar till Synologys egen tjänst.

QNAP hade problem med sin mediavisare precis som du skriver, men Plex har på ett flertal enheter av varierande typer och arkitekturer varit ett säkerhetshål på senare tid också.

Jag anser inte att jag sprider FUD oavsett vad då det finns så mycket dokumentation och bevis på att det är att be om problem att koppla en NAS direkt mot nätet att allt annat bara är skygglappar och förnekelse. Bara för att enheterna "är gjorda" för att vara kopplade mot nätet (vilket de egentligen inte ska vara) betyder det inte att de är säkra nog att vara det.

Självklart finns det ett antal enkla inställningar som man kan göra för att göra din Synology NAS betydligt säkrare mot hackare.

Sök på YouTube efter "synology security settings" eller något liknande så får du ett gäng träffar.

Det är ju dock mycket mer sannolikt att problemet skulle vara ett säkerhetshål än ett läckt/knäckt lösenord sett till hur det har gått till med NASar de senaste åren. Men självklart ska man ha fail2ban på - även i LAN för den delen.

Din NAS kommer krokna av den ständigt växande databasen med bannade IP:n du skapat långt innan dess

Att ha ett script med rootcreds som parsar loggfiler är en säkerhetsrisk i sig.

https://www.cvedetails.com/vulnerability-list/vendor_id-5567/...

Det är flera olika vägar som det smittas - de gamla klassiska förutom svaga och defaultpassword och uppenbara användarnamn som 'root' 'admin', att man har en bunt appar som snurrar men egentligen inte behövs, media-appar är kända attackvägar eller att själva webbgränssnittet har svagheter - att det finns bakvägskod, ibland hårdkodat i appar eller i någon systemprogram, både avsiktligt eller att man i utvecklingen glömt att rensa bort dem, och när denna kommer lös på internet så är det inga hinder att ställa till saker

- om man tittar på enkla/billiga NAS - typ endisk-NAS så har tex FTP ofta av bantad modell ingen rättighetshantering och körts som root för alla användare - ja listan kan göras lång...

Det som Asustor råkade ut med deadbolt i början av 2022 var en svaghet i en viss version Samba som användes allmänt av olika tillverkare och modeller av NAS (de följer gärna åt versionsmässigt fast de är konkurrenter) - CVE 2021-44142 med en heap-baserad overflow där man kunde få in körbar kod i stacken som anropade skadlig kod på root-nivå i delar i programmet som var till att hantera filattribut (EA, xattr) riktat för framförallt Apple SMB.

Och kan mycket väl har varit en klientaktivitet med avsiktligt felkonstruerad smb-paket som framkallade situationen eller att portarna för SMB protokollen har varit åtkomliga på publik Internet eller har kommit via proxy/VPN (om man tillåter SMB över VPN vill säga).

just den här typen av buggar är väldigt svåra att både jaga och bli av med och kan finnas latent länge innan någon ser dessa.

Så länge man faktiskt kör fail2ban som root har du absolut rätt (och du framför egentligen samma poäng som jag försöker göra; det finns såååå många angreppsvinklar att ta hänsyn till), men fail2ban kan köras utan root