SynoPower Club-punkt:<\/strong> Jeg jobbet p\u00e5 supportsiden av Synology i \u00e5revis, og de kompromitterte maskinene jeg s\u00e5 ble nesten aldri sl\u00e5tt av noe smart. De hadde standard administratorkonto fortsatt aktivert, en administrasjonsport videresendt til internett, og ingen annen faktor. God NAS-sikkerhet er stort sett kjedelig arbeid utf\u00f8rt i riktig rekkef\u00f8lge. Det som overrasket meg etter at vi begynte \u00e5 v\u00e6re vert for v\u00e5r egen butikk, er hvor mye av jobben som flyttes utenfor NAS-en. Mesteparten av trafikken vi avviser i dag blir sendt bort f\u00f8r den i det hele tatt ber\u00f8rer linjen v\u00e5r.<\/p>\n<\/blockquote>\n\n\n\n En privat NAS har \u00e9n oppgave i sikkerhetsmessig forstand: \u00e5 holde fremmede unna innloggingssiden. En NAS som er vert for et offentlig nettsted har det motsatte problemet. Fremmede er kundene, og tusenvis av dem m\u00e5 komme seg inn hver dag uten en konto. Sp\u00f8rsm\u00e5let endrer seg fra hvem som kan koble til til hva en tilkobling har lov til \u00e5 be om.<\/p>\n\n\n\n Derfor sluttet vi \u00e5 tenke p\u00e5 NAS-sikkerhet som en produktfunksjon og begynte \u00e5 tegne det som en vei. En foresp\u00f8rsel til nettbutikken v\u00e5r passerer fem punkter, og hver enkelt kan avsl\u00e5 den:<\/p>\n\n\n\n Ingen enkelt lag er til \u00e5 stole p\u00e5 for \u00e5 v\u00e6re riktig. Hvert lag er der for den dagen laget foran det er feil, feilkonfigurert eller rett og slett forbig\u00e5tt.<\/p>\n\n\n\n God NAS-sikkerhet starter et sted som ikke er NAS-en. Den billigste foresp\u00f8rselen \u00e5 forsvare seg mot er den som aldri kommer. I l\u00f8pet av de 24 timene f\u00f8r vi skrev dette, h\u00e5ndterte Cloudflare 78 690 foresp\u00f8rsler for domenet v\u00e5rt. Den svarte p\u00e5 57 620 av dem fra hurtigbufferen, stoppet 5590 som u\u00f8nskede og sendte bare 15 470 videre til opprinnelsesstedet v\u00e5rt. Fire av fem foresp\u00f8rsler brukte aldri en eneste CPU-syklus p\u00e5 NAS-en.<\/p>\n\n\n\n Vi har Pro-abonnementet og kj\u00f8rer 15 tilpassede brannmurregler pluss to hastighetsgrenser. Hver av dem eksisterer p\u00e5 grunn av en spesifikk d\u00e5rlig dag. Tre eksempler viser m\u00f8nsteret:<\/p>\n\n\n\n Cloudflare Turnstile dekker formene brannmuren ikke kan bed\u00f8mme: registrering, tilbakestilling av passord, kommentarer og kontaktskjemaet. Kontoen som kontrollerer alt dette, og den hos domeneregistratoren v\u00e5r, krever begge en annen faktor. En angriper som kan endre DNS-en din trenger ikke \u00e5 \u00f8delegge NAS-en din.<\/p>\n\n\n\n Det Cloudflare slipper gjennom, ankommer en Synology-ruter som kj\u00f8rer SRM, det andre NAS-sikkerhetslaget. Dette er laget som var i det opprinnelige notatet for denne artikkelen: Trusselforebygging blokkerer nok en b\u00f8lge<\/em>. Det er et system for forebygging av inntrenging som sammenligner pakker med kjente angrepssignaturer, og v\u00e5rt system er satt til \u00e5 automatisk fjerne treff med h\u00f8y alvorlighetsgrad i stedet for bare \u00e5 logge dem.<\/p>\n\n\n\n Den 2. august 2026 utf\u00f8rte \u00e9n adresse 116 fors\u00f8k p\u00e5 en PHP-feil som bare p\u00e5virker Windows-servere. Den kunne aldri ha fungert mot oss, og det er poenget med historien: Threat Prevention droppet alle fors\u00f8k, og da vi s\u00f8kte i webserverloggene etterp\u00e5, var adressen ikke der i det hele tatt. Angrepet endte p\u00e5 ruteren.<\/p>\n\n\n\n Tre enklere innstillinger p\u00e5 samme boks gj\u00f8r like mye for NAS-sikkerhet som inspeksjonsmotoren gj\u00f8r:<\/p>\n\n\n\n Front-NAS-en er det f\u00f8rste Synology-systemet en ekstern pakke kan n\u00e5, s\u00e5 det er her klassiske NAS-sikkerhetsr\u00e5d gjelder fullt ut. Innstillingene v\u00e5re er bevisst uoriginale:<\/p>\n\n\n\n To vaner er like viktige for NAS-sikkerhet som svitsjene. Vi n\u00e5r DSM utenfra via QuickConnect, eller vi n\u00e5r den ikke i det hele tatt, og det er derfor ingen administrasjonsport trenger \u00e5 v\u00e6re \u00e5pen. Og midlertidige hjelpere f\u00e5r midlertidige kontoer: N\u00e5r en entrepren\u00f8r eller en AI-agent trenger administratortilgang, oppretter vi en navngitt konto, lar arbeidet bli ferdig og deaktiverer den samme dag.<\/p>\n\n\n\n WordPress kj\u00f8rer ikke p\u00e5 front-NAS-en. Den kj\u00f8rer i en container inne i en Virtual DSM, en komplett andre kopi av DSM som driftes av Virtual Machine Manager. E-post, reverse proxy og nettbutikken ligger derfor i separate systemer med separate kontoer og separat lagring.<\/p>\n\n\n\n Isolering er den delen av NAS-sikkerhet som ikke pr\u00f8ver \u00e5 forhindre et innbrudd. Det begrenser hva et innbrudd er verdt. Hvis en WordPress-plugin noen gang blir kompromittert, lander angriperen i en container med en minnegrense, inne i en virtuell maskin som ikke inneholder postbokser og ingen sikkerhetskopier. Og fordi hele maskinen er \u00e9n enkelt fil til Virtual Machine Manager, tar et \u00f8yeblikksbilde f\u00f8r hver risikabel endring sekunder, og det tar noen f\u00e5 minutter \u00e5 rulle tilbake.<\/p>\n\n\n\n Virtual Machine Manager inkluderer \u00e9n Virtual DSM-instans gratis p\u00e5 st\u00f8ttede modeller, som er nok til \u00e5 pr\u00f8ve dette oppsettet. Ytterligere instanser krever en lisens hver.<\/p>\n\n\n\nHva NAS-sikkerhet betyr n\u00e5r NAS-en er vert for et nettsted<\/h2>\n\n\n\n
\n
Lag 1: Cloudflare avviser de fleste angrep f\u00f8r de n\u00e5r oss<\/h2>\n\n\n\n
![\"Cloudflare-sikkerhetsanalyser](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/cloudflare-security-analytics-mitigated-requests-scaled.webp\")
\n
Lag 2: Trusselforebygging p\u00e5 Synology-ruteren<\/h2>\n\n\n\n
![\"Synology-ruterens](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-router-threat-prevention-map.webp\")
\n
Lag 3: NAS-sikkerhet i DSM, fra 2FA til automatisk blokkering<\/h2>\n\n\n\n
\n
administrator<\/code> og gjest<\/code> er sl\u00e5tt av. Alle automatiserte p\u00e5loggingsangrep starter med disse to navnene.<\/li>\n\n\n\n![\"DSM-kontrollpanel](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/dsm-enforce-2fa-administrators-adaptive-mfa.webp\")
Lag 4: En Virtual DSM som inneholder skaden<\/h2>\n\n\n\n