启用安全顾问

安全顾问是 DSM 内置应用程序，可扫描您的 Synology NAS、检查 DSM 设置，并就如何解决安全漏洞提供建议。若要配置安全顾问，请参阅本文。

使用 Active Insight 检测可疑文件活动

1.png

Active Insight 是 Synology 云服务，可让您集中监控多台 Synology NAS 设备的性能、系统健康状态和安全事件。启用文件活动监控后，Active Insight 会记录共享文件夹中的文件活动，包括读取、写入、移动、重命名、创建和删除，并根据可疑文件活动检测勒索软件事件。

检测到勒索软件事件时，Active Insight 会发送事件通知，并自动为共享文件夹拍摄快照，以便您稍后恢复数据。如果您的 Synology NAS 支持，这些自动快照将不可变。此功能需要 Snapshot Replication 套件，并且每天每个共享文件夹最多拍摄一张快照。此快照防护不支持 Surveillance Station 录制文件夹。

开始之前，请确保满足以下要求：

  • DSM 7.2 或以上版本，以及 Active Insight 3.0.2 或以上版本。
  • 用于文件活动监控的系统内存至少为 1 GB。
  • 已分配给受监控 Synology NAS 的 Active Insight 许可证。

若要启用文件活动监控：

  1. 进入控制面板 > Synology 帐户，然后登录您的 Synology 帐户。
  2. 选择为 Synology NAS 注册 Active Insight 服务，然后单击应用。如果您有足够的有效许可证，系统会自动为此 Synology NAS 分配一个许可证。
  3. 登录Active Insight 网页门户，并为每台主机启用文件活动监控。此功能默认处于停用状态。
  4. 进入防护 > 文件活动，查看每台主机的文件活动和勒索软件防护状态。若要自定义触发通知的可疑活动阈值，请单击主机页面右上角的设置事件策略。

有关文件活动监控的更多信息，请参阅本文。

配置 DSM 用户的权限设置

2.png

  • 请确保默认的 admin 帐户已停用，以防止恶意攻击。停用该帐户之前，请确保其他管理员帐户可以正常登录。
  • 您可以为共享文件夹和应用程序配置用户权限，并为不同服务设置使用配额和速度限制，以管理对 Synology NAS 的访问。您可以在群组层级或个人层级执行此操作，也可以在创建群组/用户时进行设置，或稍后进入控制面板 > 用户（DSM 6.2 及更早版本）或用户和群组（DSM 7.0 及更新版本）进行设置。

配置密码强度规则

3.png

您可以确保用户设置强密码，且不在不同服务中重复使用密码，以降低遭到入侵的风险。在以下位置选择启动密码强度限制规则：

  • 对于 DSM 7.0 及以上版本：进入控制面板 > 用户和群组 > 高级 > 密码设置。
  • 对于 DSM 6.2 及更早版本：进入控制面板 > 用户 > 高级 > 密码设置。

有关密码强度规则的更多信息，请参阅本文。

设置密码到期

4.png

您可以强制用户在一段时间后更改密码。在以下位置选择启用密码到期：

  • 对于 DSM 7.0 及以上版本：进入控制面板 > 用户和群组 > 高级 > 密码到期。
  • 对于 DSM 6.2 及更早版本：进入控制面板 > 用户 > 高级 > 密码到期。

有关密码到期的更多信息，请参阅此文章。

使用多重验证

5.png

多重验证为您的 DSM 帐户提供额外的安全保护。启用后，您登录 DSM 时除了密码外，还需要提供第二种身份验证。有关多重验证的更多信息，请参阅DSM 7.0和DSM 6.2的相应帮助文章。

  • 对于 DSM 7.0 及以上版本：请进入选项 > 个人 > 帐户 > 双重验证。
  • 对于 DSM 6.2 及更早版本：请进入选项 >个人 > 帐户，选择启用两步骤验证。

启用自动封锁和帐户保护

6.png

您可以启用自动封锁，在登录尝试次数达到预定义数量后封锁 IP 地址。此功能适用于通过 SSH、Telnet、rsync、网络备份、共享文件夹同步、FTP、WebDAV、Synology 移动应用程序、File Station 和 DSM 进行的登录尝试。请在以下位置配置自动封锁：

  • 对于 DSM 7.0 及以上版本：请进入控制面板 > 安全性 > 保护。
  • 对于 DSM 6.2 及更早版本：请进入控制面板 > 安全性 > 帐户。

您可以启用帐户保护，以降低帐户遭受暴力破解攻击的风险。此功能支持以下服务和套件：DSM、File Station、Audio Station、Video Station、Download Station、Mail Station、Cloud Station 和 Synology 移动应用程序。请在控制面板 > 安全性 > 帐户中配置帐户保护。

配置防火墙

11.png

12.png

您可以启用防火墙，仅允许特定的 IP 地址、子网或区域访问 Synology NAS 上的服务，以防止未经授权的登录。请进入控制面板 > 安全性 > 防火墙，选择启用防火墙，并根据以下原则配置防火墙规则：

  • 创建允许规则，以便只有受信任的 IP 地址、子网或区域才能访问 DSM 和其他必要服务。
  • 在各网络接口的规则列表下方，为如果不符合任何规则选择拒绝访问，以封锁所有其他连接。
  • 防火墙会按照规则在列表中的排列顺序进行匹配，列表顶部的规则优先级较高。请将允许规则置于拒绝规则之前。

创建防火墙规则时，请通过希望规则允许的 IP 地址登录 DSM，而不要通过 QuickConnect 登录。应用规则前，请确保您当前使用的 IP 地址包含在允许规则中，以免无法访问 DSM。

有关防火墙规则的更多信息，请参阅此文章。

使用加密连接

7.png

若要使用 SSL/TLS 加密连接，请使用 HTTPS 访问 DSM 以及 Synology Chat、Synology Drive、Synology Photos 和 Surveillance Station 等基于 Web 的套件。这可以保护客户端与 Synology NAS 之间的通信。您可以通过以下方法启用 HTTPS：

  • 对于 DSM 登录，请进入控制面板 > 登录门户 > DSM，选择自动将 HTTP 连接重定向到 HTTPS或启用 HSTS 强制浏览器使用安全连接（如果您使用自定义域，请选择此选项）。请勿同时启用这两个选项，以免发生连接问题。
  • 对于门户或反向代理设置，在配置以下项目时，请选中与 HSTS 相关的复选框：
  • 对于移动应用程序和实用程序登录，请在 Synology 移动应用程序或桌面实用程序的登录屏幕上选择 HTTPS。

完成上述设置后，请务必添加有效的 SSL 证书。

此外，由于某些服务或套件也提供连接加密，您可以尝试以下方法来提高 Synology NAS 的安全性：

  • 启用 FTPS 或 SFTP 来代替 FTP，因为 FTP 不提供加密来保护数据传输。
  • 通过 Hyper Backup 将数据备份到远程目的地时，请选择传输加密。
  • 使用 共享文件夹同步时，请选择启用 SSH 传输加密。

启用 DoS 保护

8.png

您可以启用拒绝服务 (DoS) 保护，以防止 Internet 上的恶意攻击。为此，请进入控制面板 > 安全性 > 保护，选择启用 DoS 保护，然后单击应用。

启用后，您的 Synology NAS 将根据 DSM 版本做出不同响应：

  • 对于 DSM 7.0 及更高版本：NAS 每秒最多响应 1,000 个 ICMP ping 数据包。如果频率超过每秒 1,000 次 ping，NAS 将停止响应额外的请求。
  • 对于 DSM 6.2 及更早版本：NAS 每秒仅响应一个 ICMP ping 数据包。如果每秒收到超过一个 ping，NAS 将忽略额外的请求。

更改默认管理端口

您可以自定义端口以阻止恶意登录尝试。默认端口如下：

  • HTTP：5000
  • HTTPS：5001
  • SSH：22

您可以在以下位置更改默认 HTTP/HTTPS 端口：

  • 对于 DSM 7.0 及更高版本：控制面板 > 登录门户 > DSM。
  • 对于 DSM 6.2 及更早版本：控制面板 > 网络 > DSM 设置。

9.png

您可以在控制面板 > 终端机和 SNMP > 终端机中更改默认 SSH 端口。

10.png

仅在路由器上为所需服务开放公共端口

Synology NAS 专为通过 Internet 轻松访问而设计。请参阅本教程，了解如何配置远程访问。为确保 Synology NAS 的安全性，我们强烈建议仅在路由器上为所需服务开放公共端口。如果您需要远程管理 DSM，建议通过 VPN连接，而不要直接将 DSM 管理端口暴露到 Internet。

防范勒索软件攻击

勒索软件可能会加密或删除 Synology NAS 上的文件，并要求支付赎金才能恢复文件。除了本文所述的帐户和连接安全设置外，我们建议使用以下功能，以确保数据在被加密或删除后仍可恢复：

  • 使用 Snapshot Replication 定期拍摄共享文件夹和 LUN 的快照，并为不可变快照设置保护期限。在保护期限内，无法删除快照及其对应的共享文件夹或 LUN。共享文件夹快照需要 Btrfs 存储空间。
  • 创建共享文件夹时，请选择通过 WriteOnce 来保护此共享文件夹，以根据所选模式（企业模式或法规模式）和保留期限防止文件被修改或删除。请注意，WriteOnce 需要 Btrfs 存储空间，启用后无法禁用。
  • 使用 Hyper Backup 遵循 3-2-1 备份原则，将数据备份到异地 Synology NAS 或云端。
  • 使用 Active Insight 检测可疑文件活动。有关详细信息，请参阅使用 Active Insight 检测可疑文件活动。

不可变快照和 WriteOnce 仅适用于特定型号。请参阅本文以获取支持型号列表。

有关防止勒索软件攻击的更多方法，请参阅如何防止勒索软件攻击我的 Synology 设备？