{"id":22125,"date":"2026-10-25T07:58:10","date_gmt":"2026-10-24T23:58:10","guid":{"rendered":"https:\/\/synopower.club\/?post_type=docs&#038;p=22125"},"modified":"2026-10-25T08:04:28","modified_gmt":"2026-10-25T00:04:28","password":"","slug":"synology-threat-prevention-blind-spots","status":"publish","type":"docs","link":"https:\/\/synopower.club\/pl\/docs\/synology-threat-prevention-blind-spots\/","title":{"rendered":"Synology Threat Prevention: Co wykrywa, a czego nie widzi"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Threat Prevention to pakiet, po kt\u00f3ry wi\u0119kszo\u015b\u0107 ludzi si\u0119ga w momencie, gdy decyduje si\u0119 na hostowanie witryny internetowej na serwerze Synology NAS. Dzia\u0142a na routerze, ma ikon\u0119 tarczy, a jego pulpit nawigacyjny zlicza ataki w setkach, wi\u0119c wygl\u0105da jak co\u015b, co dba o bezpiecze\u0144stwo publicznej witryny. Uruchamiamy go na routerze RT6600ax przed ka\u017cd\u0105 posiadan\u0105 maszyn\u0105 i warto go mie\u0107. Jednak w przypadku samodzielnie hostowanej witryny internetowej jest on niemal ca\u0142kowicie nietrafiony.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ten artyku\u0142 z serii NAS Hosting 101 otwiera nasz w\u0142asny router, odczytuje z niego rzeczywisty tydzie\u0144 zdarze\u0144 i pokazuje dok\u0142adnie, gdzie Threat Prevention przestaje by\u0107 pomocny, u\u017cywaj\u0105c PHP2Shell jako przyk\u0142adu ataku, kt\u00f3rego Threat Prevention i tak by nie wykry\u0142.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Punkt SynoPower Club:<\/strong> Sp\u0119dzi\u0142em du\u017co czasu pracuj\u0105c w dziale wsparcia Synology i to pytanie pojawia\u0142o si\u0119 nieustannie: kt\u00f3r\u0105 opcj\u0119 mam w\u0142\u0105czy\u0107, aby zatrzyma\u0107 ten atak. To w\u0142a\u015bciwy instynkt skierowany do niew\u0142a\u015bciwego urz\u0105dzenia. Prze\u0142omem dla mnie by\u0142o przeczytanie naszej w\u0142asnej listy zdarze\u0144 zamiast strony opisuj\u0105cej funkcj\u0119. Ka\u017cdy alert zarejestrowany przez nasz router w tym miesi\u0105cu dotyczy\u0142 adresu o z\u0142ej reputacji, a nie \u017c\u0105dania ze szkodliw\u0105 zawarto\u015bci\u0105. Gdy to zrozumiesz, przestaniesz wymaga\u0107 od Threat Prevention inspekcji ruchu, kt\u00f3ry trzyma w zapiecz\u0119towanej kopercie.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-threat-prevention-actually-does-on-a-synology-router\" class=\"wp-block-heading\">Co naprawd\u0119 robi Threat Prevention na routerze Synology<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention to system wykrywania i zapobiegania w\u0142amaniom wywodz\u0105cy si\u0119 z linii Snort i Suricata. Odczytuje pakiety w miar\u0119 ich przesy\u0142ania przez router, por\u00f3wnuje je z zestawem sygnatur i rejestruje alert albo odrzuca pakiet. Na naszym RT6600ax \u017ar\u00f3d\u0142em sygnatur jest ET Open, bezp\u0142atny poziom zestawu regu\u0142 Emerging Threats, od\u015bwie\u017cany codziennie o godzinie 09:00.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Z tej konstrukcji wynikaj\u0105 trzy w\u0142a\u015bciwo\u015bci, i wszystkie trzy maj\u0105 wi\u0119ksze znaczenie ni\u017c jakiekolwiek pole wyboru w interfejsie:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>It can only examine packets the router <strong>forwards<\/strong>. Traffic that never crosses the routing engine is not slow to inspect, it is invisible.<\/li>\n\n<li>It can only match on bytes it can <strong>read<\/strong>W Threat Prevention nie ma przechwytywania TLS w \u017cadnym miejscu, wi\u0119c zaszyfrowana zawarto\u015b\u0107 jest nieczytelna.<\/li>\n\n<li>It can only match signatures <strong>somebody else wrote<\/strong>. The interface exposes vendor classes to switch on and off, and nothing that accepts a rule you author yourself.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Nic z tego nie jest wad\u0105. Posiadanie IPS na obwodzie sieci jest rozs\u0105dne i przydatne. B\u0142\u0119dem jest zak\u0142adanie, \u017ce obw\u00f3d to miejsce, w kt\u00f3rym atakowana jest witryna internetowa.<\/p>\n\n\n\n<h2 id=\"threat-prevention-vs-a-web-application-firewall\" class=\"wp-block-heading\">Threat Prevention a zapora sieciowa aplikacji internetowych (WAF)<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Najja\u015bniejszym sposobem na dostrze\u017cenie tej r\u00f3\u017cnicy jest zestawienie Threat Prevention z zapor\u0105 aplikacji internetowych (WAF) i zapytanie, co ka\u017cde z nich posiada w momencie podejmowania decyzji. Threat Prevention trzyma pakiet. WAF trzyma odszyfrowane \u017c\u0105danie HTTP.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Question<\/th><th>Router IPS<\/th><th>Reverse-proxy WAF<\/th><\/tr><\/thead><tbody><tr><td>Gdzie to biegnie<\/td><td>On the routing path, before TLS ends<\/td><td>At the edge, after TLS ends<\/td><\/tr><tr><td>What it inspects<\/td><td>Packet headers and any cleartext bytes<\/td><td>Method, path, headers, cookies, body<\/td><\/tr><tr><td>HTTPS traffic<\/td><td>Opaque<\/td><td>Fully readable<\/td><\/tr><tr><td>Rules you can add<\/td><td>Vendor classes on or off<\/td><td>Your own expressions, plus managed rulesets<\/td><\/tr><tr><td>Same-subnet traffic<\/td><td>Never seen<\/td><td>Not applicable, it is upstream of everything<\/td><\/tr><tr><td>Typical catch<\/td><td>Reputation hits, scans, cleartext exploits, outbound command and control<\/td><td>Injection, traversal, known CVE request shapes, credential stuffing, bots<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">To nie s\u0105 produkty konkurencyjne. Obejmuj\u0105 r\u00f3\u017cne odcinki tej samej drogi, a samodzielnie hostowana witryna potrzebuje tego drugiego znacznie bardziej ni\u017c pierwszego. U\u017cywamy obu i od ka\u017cdego oczekujemy zupe\u0142nie czego\u015b innego.<\/p>\n\n\n\n<h2 id=\"reading-595-events-from-one-week-on-our-own-router\" class=\"wp-block-heading\">Odczyt 595 zdarze\u0144 z jednego tygodnia na naszym w\u0142asnym routerze<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Oto ekran przegl\u0105du Threat Prevention naszego produkcyjnego routera z dnia 25 pa\u017adziernika 2026 r. Pi\u0119\u0107set dziewi\u0119\u0107dziesi\u0105t pi\u0119\u0107 z\u0142o\u015bliwych zdarze\u0144 w ci\u0105gu siedmiu dni, z czego 75 o wysokim priorytecie. Wygl\u0105da to jak mur powstrzymuj\u0105cy pow\u00f3d\u017a.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp\" alt=\"Przegl\u0105d Synology Threat Prevention na routerze RT6600ax pokazuj\u0105cy 595 z\u0142o\u015bliwych zdarze\u0144 w ci\u0105gu siedmiu dni i jedno urz\u0105dzenie z potencjalnymi zagro\u017ceniami\" class=\"wp-image-22119\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1000x482.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Siedem dni na naszym w\u0142asnym RT6600ax. Jedno urz\u0105dzenie odpowiada za ka\u017cde zdarzenie o wysokim priorytecie i jest to serwer pocztowy, a nie host WWW.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Dwa szczeg\u00f3\u0142y na tym ekranie s\u0105 warte wi\u0119cej ni\u017c g\u0142\u00f3wna liczba. Pierwszy to fakt, \u017ce w sekcji potencjalnych zagro\u017ce\u0144 pojawia si\u0119 tylko jedno urz\u0105dzenie, i jest to REVERSE_MAIL \u2013 maszyna, kt\u00f3ra ko\u0144czy po\u0142\u0105czenie TLS i uruchamia MailPlus. Drugi to data sygnatury obok zielonego znacznika. Teraz otw\u00f3rz pojedyncze zdarzenie i przeczytaj, co naprawd\u0119 si\u0119 uruchomi\u0142o.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp\" alt=\"Szczeg\u00f3\u0142y zdarzenia Threat Prevention pokazuj\u0105ce sygnatur\u0119 IP o z\u0142ej reputacji ET CINS ze stanem Alert i tre\u015bci\u0105 regu\u0142y dopasowuj\u0105c\u0105 wy\u0142\u0105cznie adresy IP\" class=\"wp-image-22120\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Tre\u015b\u0107 sygnatury zdradza wszystko. Zaczyna si\u0119 od alert ip, a po nim nast\u0119puje lista adres\u00f3w, wi\u0119c nic w \u017c\u0105daniu nie zosta\u0142o przeanalizowane.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Klasyfikacja Misc Attack, priorytet \u015aredni, stan Alert, nazwa sygnatury ET CINS Active Threat Intelligence Poor Reputation IP group 24. Otw\u00f3rz tre\u015b\u0107 regu\u0142y: rozpoczyna si\u0119 od alert ip, a nast\u0119pnie d\u0142ugiej listy adres\u00f3w. To jest sprawdzanie na li\u015bcie blokowanych. \u017badna cz\u0119\u015b\u0107 \u017c\u0105dania HTTP nie zosta\u0142a odczytana, poniewa\u017c \u017cadna cz\u0119\u015b\u0107 nie mog\u0142a zosta\u0107 odczytana. Przeanalizowali\u015bmy pr\u00f3bki zdarze\u0144 dla drugiego celu, naszego hosta Virtual DSM, i znale\u017ali\u015bmy t\u0119 sam\u0105 klas\u0119 regu\u0142y z innym numerem grupy.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Szczere podsumowanie jednego tygodnia jest wi\u0119c nast\u0119puj\u0105ce: router rozpozna\u0142 kilkaset po\u0142\u0105cze\u0144 z adres\u00f3w, kt\u00f3re mia\u0142y ju\u017c z\u0142\u0105 reputacj\u0119. To jest naprawd\u0119 przydatne. Nie jest to jednak wykrywanie atak\u00f3w internetowych i nikt nie powinien interpretowa\u0107 liczby 595 tak, jakby nim by\u0142o.<\/p>\n\n\n\n<h2 id=\"how-to-audit-threat-prevention-in-4-steps\" class=\"wp-block-heading\">Jak przeprowadzi\u0107 audyt Threat Prevention w 4 krokach<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Zanim powierzysz cokolwiek pakietowi Threat Prevention, po\u015bwi\u0119\u0107 dziesi\u0119\u0107 minut na sprawdzenie, co tak naprawd\u0119 robi on w Twojej w\u0142asnej sieci. Ka\u017cdy z poni\u017cszych krok\u00f3w s\u0142u\u017cy tylko do odczytu i niczego nie zmienia.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Otw\u00f3rz jedno zdarzenie i przeczytaj tre\u015b\u0107 sygnatury<\/h3>\n<div class=\"rank-math-step-content\"><p>Przejd\u017a do Threat Prevention, nast\u0119pnie Zdarzenia i kliknij dowolny wpis. Sp\u00f3jrz za kolorowy znacznik poziomu zagro\u017cenia na pole Regu\u0142y sygnatur. Regu\u0142a zaczynaj\u0105ca si\u0119 od alert ip dopasowuje wy\u0142\u0105cznie reputacj\u0119 adresu. Regu\u0142a zawieraj\u0105ca content lub pcre dopasowuje zawarto\u015b\u0107 pakietu. Policz, ile poszczeg\u00f3lnych regu\u0142 znajdziesz na w\u0142asnej li\u015bcie, zanim zdecydujesz, co w\u0142a\u015bciwie chroni Threat Prevention.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Sprawd\u017a, kt\u00f3re interfejsy s\u0105 monitorowane<\/h3>\n<div class=\"rank-math-step-content\"><p>Otw\u00f3rz Ustawienia i sprawd\u017a tabel\u0119 Monitorowane interfejsy. Kontrolowane s\u0105 tylko zaznaczone tam interfejsy, a w typowym wdro\u017ceniu s\u0105 to interfejsy skierowane do Internetu. Ruch mi\u0119dzy dwoma urz\u0105dzeniami w tej samej podsieci LAN jest prze\u0142\u0105czany, a nie trasowany, wi\u0119c nigdy nie dociera do silnika inspekcji i \u017cadne ustawienie na tej stronie nie mo\u017ce tego zmieni\u0107.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Dowiedz si\u0119, co si\u0119 dzieje, gdy router jest zaj\u0119ty<\/h3>\n<div class=\"rank-math-step-content\"><p>W tym samym panelu sp\u00f3jrz na tryb domy\u015blny. Priorytet stabilno\u015bci sieci oznacza, \u017ce gdy ruch przekracza mo\u017cliwo\u015bci przetwarzania silnika, nadmiar jest przepuszczany bez filtrowania. Priorytet bezpiecze\u0144stwa oznacza z kolei, \u017ce nadmiar jest odrzucany. Jeden wyb\u00f3r dzia\u0142a w trybie otwartym (fail-open) i utrzymuje dzia\u0142anie \u0142\u0105cza, drugi dzia\u0142a w trybie zamkni\u0119tym (fail-closed) i przerywa po\u0142\u0105czenie. Zdecyduj, kt\u00f3rego z nich naprawd\u0119 chcesz.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Spr\u00f3buj doda\u0107 w\u0142asn\u0105 regu\u0142\u0119<\/h3>\n<div class=\"rank-math-step-content\"><p>Open Self-Defined Policy. You can change the action for a signature the vendor already ships, and you can scope it by source or destination address. There is no field anywhere that accepts a signature you wrote. If your threat is newer than your signature feed, this screen is where you discover you have no way to respond.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<h2 id=\"where-it-genuinely-earns-its-place\" class=\"wp-block-heading\">Gdzie naprawd\u0119 zas\u0142uguje na swoje miejsce<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Trzymamy Threat Prevention w\u0142\u0105czone i nie wynika to z zabobon\u00f3w. Wykonuje cztery zadania, kt\u00f3rych nie robi nic innego w naszym \u015brodowisku.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Outbound command and control.<\/strong> This is the strongest case by far. A compromised device has to call home, that call has to leave through the router, and a good share of it is still either cleartext or aimed at a known address. Our router ships the Malware Command and Control Activity class with 3,450 of 3,498 rules enabled, and the Domain Observed Used for C2 class with 7,157 of 7,202.<\/li>\n\n<li><strong>Cleartext protocols from the internet.<\/strong> Our mail server answers on port 25, and SMTP is cleartext until STARTTLS. That is real inspectable traffic, and it is no accident that the mail host is the one device our events list keeps naming.<\/li>\n\n<li><strong>Scanning and reconnaissance.<\/strong> Port sweeps and fingerprinting are recognised by connection behaviour rather than by payload, so encryption does not hide them.<\/li>\n\n<li><strong>Visibility.<\/strong> A searchable log of who knocked and with what reputation is worth having, even when every entry is only a reputation hit. It is monitoring value, and it should be counted as monitoring value rather than as protection.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Wsp\u00f3ln\u0105 cech\u0105 tych czterech zada\u0144 jest to, \u017ce \u017cadne z nich nie jest atakiem na witryn\u0119 internetow\u0105.<\/p>\n\n\n\n<h2 id=\"why-a-site-owner-asks-threat-prevention-for-the-wrong-thing\" class=\"wp-block-heading\">Dlaczego w\u0142a\u015bciciel witryny wymaga od Threat Prevention niew\u0142a\u015bciwych rzeczy<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Gdy hostujesz witryn\u0119 na serwerze NAS, \u015bcie\u017cka \u017c\u0105dania zazwyczaj zawiera odwrotny serwer proxy. Nasza wygl\u0105da tak, a ten uk\u0142ad decyduje o wszystkim:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>The visitor reaches <strong>Cloudflare<\/strong>, which answers most requests from cache and inspects the rest in cleartext.<\/li>\n\n<li>What is left crosses the <strong>router<\/strong>, gdzie Threat Prevention widzi zaszyfrowany strumie\u0144 TLS i nic wi\u0119cej.<\/li>\n\n<li>Ten <strong>reverse proxy NAS<\/strong> terminates TLS and forwards plain HTTP to the machine that runs the site.<\/li>\n\n<li>That last hop is on the <strong>same subnet<\/strong>, so the frame goes through a switch and the router is not in the path.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Przeczytaj te cztery wiersze razem, a pu\u0142apka stanie si\u0119 oczywista. Jedynym odcinkiem, na kt\u00f3rym \u017c\u0105danie istnieje w czytelnej postaci, jest ostatni skok, i jest to ten jedyny odcinek, kt\u00f3rego router nie mo\u017ce obserwowa\u0107. Wsz\u0119dzie tam, gdzie router mo\u017ce dokonywa\u0107 obserwacji, \u017c\u0105danie jest zaszyfrowane. Nie ma pola wyboru, kt\u00f3re rozwi\u0105za\u0142oby tak\u0105 sprzeczno\u015b\u0107, a Threat Prevention nie ponosi pora\u017cki, gdy milczy. Zg\u0142asza dok\u0142adnie informacje o ruchu, kt\u00f3rego strukturalnie nie jest w stanie odczyta\u0107.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dlatego r\u00f3wnie\u017c skierowanie Threat Prevention na konkretn\u0105 witryn\u0119 nie dzia\u0142a. Pakiet jest powi\u0105zany z interfejsami routera, a nie z nazwami host\u00f3w. Nie ma poj\u0119cia, do kt\u00f3rej z Twoich witryn nale\u017cy po\u0142\u0105czenie, poniewa\u017c nigdy nie widzi nag\u0142\u00f3wka Host.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp\" alt=\"Ustawienia Threat Prevention pokazuj\u0105ce monitorowane interfejsy ograniczone do port\u00f3w wychodz\u0105cych na Internet, tryb priorytetu stabilno\u015bci sieci oraz \u017ar\u00f3d\u0142o sygnatur ET Open\" class=\"wp-image-22121\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Monitorowane interfejsy to ca\u0142y zakres dzia\u0142ania Threat Prevention. Zwr\u00f3\u0107 uwag\u0119 na domy\u015blny tryb poni\u017cej oraz \u017ar\u00f3d\u0142o sygnatur na dole.<\/figcaption><\/figure>\n\n\n\n<h2 id=\"three-reasons-php2shell-was-invisible-at-the-router\" class=\"wp-block-heading\">Trzy powody, dla kt\u00f3rych PHP2Shell by\u0142 niewidoczny dla routera<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell, para luk umo\u017cliwiaj\u0105cych zdalne wykonanie kodu bez uwierzytelnienia (\u015bledzonych jako CVE-2026-109618 i CVE-2026-109619), wyciek\u0142a 20 pa\u017adziernika 2026 r. i zosta\u0142a za\u0142atana przez tw\u00f3rc\u00f3w oprogramowania nast\u0119pnego dnia. Jest to dok\u0142adnie ten rodzaj zagro\u017cenia, od kt\u00f3rego obrony oczekuje si\u0119 po routerowym IPS-ie, i warto dok\u0142adnie wyja\u015bni\u0107, dlaczego nie m\u00f3g\u0142 tego zrobi\u0107.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Po pierwsze, ruch by\u0142 zaszyfrowany na ka\u017cdym odcinku, kt\u00f3ry obserwuje router.<\/strong> The exploit lives in the HTTP request, and the HTTP request only exists in the clear after TLS has been terminated, which happens downstream of the router on a hop the router never carries.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Po drugie, nie istnieje \u017cadna sygnatura Threat Prevention, kt\u00f3r\u0105 mo\u017cna by w\u0142\u0105czy\u0107.<\/strong> We checked again on 25 October 2026 and found no published Snort or Emerging Threats rule for either CVE. Our feed is ET Open, the free tier, which lags the commercial set, and the Self-Defined Policy screen accepts no rule of your own. So even an operator who knew precisely what to match for had nowhere to put it.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp\" alt=\"Ekran Zasady zdefiniowane przez u\u017cytkownika w Threat Prevention, pusty, z dost\u0119pnymi tylko opcjami Edytuj i Usu\u0144 oraz brakiem mo\u017cliwo\u015bci utworzenia nowej sygnatury\" class=\"wp-image-22123\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">W\u0142asne zasady dostosowuj\u0105 dzia\u0142anie dla sygnatur dostarczonych ju\u017c przez producenta. Nie ma pola, kt\u00f3re przyjmowa\u0142oby regu\u0142\u0119 napisan\u0105 samodzielnie.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Po trzecie, i co najwa\u017cniejsze, ten atak nie posiada kszta\u0142tu \u0142adunku, kt\u00f3ry mo\u017cna by dopasowa\u0107 do wzorca.<\/strong> The chain takes two requests. The first has to push PHP into exhausting its memory limit, which makes the engine abandon a request through a path that skips cleanup and leaves some global state behind. The second request is ordinary, and it is the one that reaches a stale pointer and turns into code execution.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pierwsze \u017c\u0105danie definiowane jest przez to, ile pami\u0119ci zu\u017cywa, a nie przez jak\u0105kolwiek sekwencj\u0119 bajt\u00f3w \u2014 du\u017cy przesy\u0142any plik, ogromna tre\u015b\u0107 JSON, g\u0142\u0119boka tablica czy d\u0142ugi ci\u0105g w wyra\u017ceniu regularnym spe\u0142niaj\u0105 te kryteria. Drugie nie niesie ze sob\u0105 \u017cadnych z\u0142o\u015bliwych bajt\u00f3w. IPS podejmuje decyzje dla poszczeg\u00f3lnych pakiet\u00f3w i przep\u0142yw\u00f3w. Nie ma modelu procesu roboczego przenosz\u0105cego ska\u017cony stan z jednego \u017c\u0105dania do drugiego, a to w\u0142a\u015bnie tam le\u017cy ten b\u0142\u0105d.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wyznacza to r\u00f3wnie\u017c granice obej\u015bcia kr\u0105\u017c\u0105cego w\u00f3wczas w sieci, kt\u00f3re polega\u0142o na wy\u0142\u0105czeniu session.upload_progress w konfiguracji PHP. Usuwa to wprawdzie jeden dobrze udokumentowany spos\u00f3b na dotarcie do drugiego CVE i na maszynie, kt\u00f3rej naprawd\u0119 nie mo\u017cna za\u0142ata\u0107, jest to lepsze ni\u017c nic. Nie jest to jednak rozwi\u0105zanie problemu: wyczerpanie pami\u0119ci jest mo\u017cliwe nie tylko za po\u015brednictwem tej jednej funkcji, a to ustawienie nie ma \u017cadnego wp\u0142ywu na CVE-2026-109618. U\u017cyli\u015bmy go jako tymczasowego \u015brodka na dok\u0142adnie jednym ho\u015bcie i traktowali\u015bmy jako kupowanie czasu, a nie jako rozwi\u0105zanie. Pe\u0142ne sprawozdanie z tego, jak przeprowadzili\u015bmy \u0142atanie, znajduje si\u0119 w naszym <a href=\"https:\/\/synopower.club\/pl\/synology-php2shell-emergency-patch\/\">PHP2Shell write-up<\/a>.<\/p>\n\n\n\n<h2 id=\"fail-open-by-design-and-the-day-it-cost-us-our-mail\" class=\"wp-block-heading\">Domy\u015blne przekazywanie ruchu przy awarii i dzie\u0144, w kt\u00f3rym kosztowa\u0142o nas to nasz\u0105 poczt\u0119<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Jest jeszcze jedna w\u0142a\u015bciwo\u015b\u0107, o kt\u00f3rej warto wiedzie\u0107, zanim potraktujesz Threat Prevention jako zabezpieczenie, na kt\u00f3rym mo\u017cna polega\u0107. Domy\u015blnie zalecanym trybem jest priorytet stabilno\u015bci sieci, a interfejs bez \u017cadnych eufemizm\u00f3w wyja\u015bnia, co to oznacza: gdy ruch przekracza wydajno\u015b\u0107 przetwarzania, oczekuj\u0105ce pakiety s\u0105 przepuszczane bez filtrowania. Alternatywa, czyli tryb priorytetu bezpiecze\u0144stwa, zamiast tego odrzuca je i ostrzega, \u017ce po\u0142\u0105czenie b\u0119dzie niestabilne do czasu rozwi\u0105zania problemu.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">To rozs\u0105dne ustawienie domy\u015blne dla routera domowego. Oznacza to jednak, \u017ce Threat Prevention jest najs\u0142abszy dok\u0142adnie w momencie, w kt\u00f3rym najbardziej potrzebujesz jego si\u0142y, poniewa\u017c zalew ruchu jest zar\u00f3wno rzecz\u0105, kt\u00f3r\u0105 chcesz przefiltrowa\u0107, jak i rzecz\u0105, kt\u00f3ra przekracza wydajno\u015b\u0107.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Mamy r\u00f3wnie\u017c odnotowany drugi tryb awarii. 2 sierpnia 2026 r. kto\u015b zaatakowa\u0142 nasz reverse proxy 116 razy eksploitem na b\u0142\u0105d w PHP-CGI w systemie Windows, kt\u00f3ry w og\u00f3le nie mo\u017ce zadzia\u0142a\u0107 na Linuksie. Threat Prevention odrzuci\u0142 wystarczaj\u0105co du\u017co pakiet\u00f3w, aby zablokowa\u0107 w\u0142asny stan, a nast\u0119pnie zacz\u0105\u0142 odrzuca\u0107 ruch wychodz\u0105cy maszyny, kt\u00f3rej mia\u0142 broni\u0107. Nasza kolejka pocztowa utkn\u0119\u0142a, a objaw wygl\u0105da\u0142 dok\u0142adnie jak awaria DNS. Ponowne uruchomienie routera rozwi\u0105za\u0142o problem. W dzienniku dost\u0119pu proxy nic si\u0119 nie pojawi\u0142o, poniewa\u017c nic nigdy do niego nie dotar\u0142o. Atak, kt\u00f3ry strukturalnie nie mia\u0142 prawa si\u0119 uda\u0107, i tak doprowadzi\u0142 do przerwy w dzia\u0142aniu \u2014 za spraw\u0105 narz\u0119dzia, kt\u00f3re mia\u0142o mu zapobiec.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp\" alt=\"Lista klas i sygnatur w Threat Prevention z liczb\u0105 w\u0142\u0105czonych regu\u0142 dla ka\u017cdej klasy, w tym Web Application Attack z 5 928 z 6 010 regu\u0142\" class=\"wp-image-22122\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Prze\u0142\u0105czniki na poziomie klas z liczb\u0105 w\u0142\u0105czonych po prawej stronie. To pe\u0142en zakres mo\u017cliwo\u015bci dostrajania.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Przy okazji sp\u00f3jrz na liczb\u0119 aktywnych regu\u0142 na tej li\u015bcie. Web Application Attack pokazuje 5928 z 6010 aktywnych regu\u0142, a proporcja jest podobna w pozosta\u0142ych klasach, kt\u00f3re nas interesuj\u0105. W\u0142\u0105czenie klasy nie powoduje w\u0142\u0105czenia ka\u017cdej regu\u0142y w jej wn\u0119trzu, a interfejs nie daje \u017cadnego sposobu, aby sprawdzi\u0107, kt\u00f3rych z pozosta\u0142ych regu\u0142 brakuje.<\/p>\n\n\n\n<h2 id=\"put-a-proxy-in-front-then-lock-the-origin-to-it\" class=\"wp-block-heading\">Umie\u015b\u0107 proxy z przodu, a nast\u0119pnie zablokuj dost\u0119p bezpo\u015bredni do serwera \u017ar\u00f3d\u0142owego<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Je\u015bli udost\u0119pniasz witryn\u0119 internetow\u0105 z serwera NAS, mechanizmem kontroli, kt\u00f3ry wykonuje zadanie, jakiego nie potrafi zrobi\u0107 router, jest WAF typu reverse-proxy. U\u017cywamy Cloudflare, a powodem jest raczej jego pozycja ni\u017c marka: szyfrowanie TLS ko\u0144czy si\u0119 na brzegu sieci, wi\u0119c ca\u0142e \u017c\u0105danie jest czytelne w momencie podejmowania decyzji. Metoda, \u015bcie\u017cka, zapytanie, nag\u0142\u00f3wki, pliki cookie i tre\u015b\u0107 (body) s\u0105 w pe\u0142ni dost\u0119pne dla regu\u0142y.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dlatego w\u0142a\u015bnie zabezpieczenia przed PHP2Shell pojawi\u0142y si\u0119 tam, a nie na routerze. Gdy ujawniono luki CVE, zarz\u0105dzany zestaw regu\u0142 wzbogaci\u0142 si\u0119 o siedem regu\u0142 dla tej pary w ci\u0105gu dw\u00f3ch dni i dzia\u0142a\u0142y one we wszystkich czterech obs\u0142ugiwanych przez nas strefach, zanim jeszcze sko\u0144czyli\u015bmy przebudowywa\u0107 w\u0142asne kontenery. \u017baden odpowiednik nigdy nie pojawi\u0142 si\u0119 w kanale Threat Prevention, a pi\u0119\u0107 dni p\u00f3\u017aniej nadal nie ma publicznej regu\u0142y Snort ani Emerging Threats do zainstalowania.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Jedno ostrze\u017cenie, kt\u00f3re ma wi\u0119ksze znaczenie ni\u017c wyb\u00f3r dostawcy. Proxy z przodu pomaga tylko wtedy, gdy nie mo\u017cna go obej\u015b\u0107. Je\u015bli Tw\u00f3j adres \u017ar\u00f3d\u0142owy odpowiada bezpo\u015brednio w publicznym internecie, ka\u017cdy, kto go odkryje, pominie ka\u017cd\u0105 regu\u0142\u0119 brzegow\u0105, kt\u00f3r\u0105 utworzy\u0142e\u015b. Ogranicz port 443 na serwerze \u017ar\u00f3d\u0142owym do zakres\u00f3w sieciowych proxy, pobieraj te zakresy z punktu ko\u0144cowego dostawcy, zamiast wpisywa\u0107 je na sztywno, i zweryfikuj blokad\u0119, wywo\u0142uj\u0105c stron\u0119 bezpo\u015brednio z jej adresu. Nasza szersza konfiguracja oraz cztery warstwy za t\u0105 opisane s\u0105 w <a href=\"https:\/\/synopower.club\/pl\/docs\/synology-nas-security-public-website\/\">the five layers we run<\/a>.<\/p>\n\n\n\n<h2 id=\"threat-prevention-limits-and-security-notes\" class=\"wp-block-heading\">Ograniczenia i uwagi dotycz\u0105ce bezpiecze\u0144stwa Threat Prevention<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention wymaga pami\u0119ci zewn\u0119trznej na routerze i nie jest dost\u0119pne w ka\u017cdym modelu, dlatego przed zaplanowaniem jego u\u017cycia upewnij si\u0119, \u017ce Tw\u00f3j sprz\u0119t go obs\u0142uguje. Silnik ten jest r\u00f3wnie\u017c najbardziej obci\u0105\u017caj\u0105cym elementem pracy routera, a w urz\u0105dzeniach konsumenckich jest komponentem, kt\u00f3ry najcz\u0119\u015bciej staje si\u0119 w\u0105skim gard\u0142em przepustowo\u015bci. Wykonaj pomiary przed i po, zamiast ufa\u0107 danym marketingowym.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Traktuj ka\u017cd\u0105 liczb\u0119 na ekranie przegl\u0105du jako liczb\u0119 dopasowa\u0144 sygnatur, a nie liczb\u0119 powstrzymanych atak\u00f3w. Te dwie warto\u015bci r\u00f3\u017cni\u0105 si\u0119 w obu kierunkach. Wykrycie skanera o z\u0142ej reputacji, kt\u00f3ry i tak nic by nie osi\u0105gn\u0105\u0142, zawy\u017ca og\u00f3ln\u0105 sum\u0119, a spokojny tydzie\u0144 niczego nie dowodzi w kwestii ruchu HTTPS, kt\u00f3rego silnik nie jest w stanie odczyta\u0107.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">W Threat Prevention status ma tak samo du\u017ce znaczenie jak poziom zagro\u017cenia. Opcja \u201eAutomatycznie odrzucaj pakiety o wysokim ryzyku\u201d dzia\u0142a tylko na pasmo wysokiego ryzyka, wi\u0119c wpisy o \u015brednim poziomie zagro\u017cenia s\u0105 rejestrowane i przesy\u0142ane dalej. Interfejs wy\u015bwietlaj\u0105cy komunikat Alert informuje, \u017ce pakiet zosta\u0142 dostarczony.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Kana\u0142 sygnatur dzia\u0142a jak \u0142a\u0144cuch dostaw. ET Open od\u015bwie\u017ca si\u0119 wed\u0142ug harmonogramu, dzia\u0142a z op\u00f3\u017anieniem w stosunku do komercyjnego zestawu regu\u0142 i mo\u017ce nie dostarczy\u0107 niczego dla luki wykrytej kilka dni temu. Pulpit nawigacyjny zg\u0142aszaj\u0105cy, \u017ce baza danych jest aktualna, informuje jedynie, \u017ce jest ona zgodna z kana\u0142em, a nie \u017ce kana\u0142 obejmuje to, co jest obecnie wykorzystywane w atakach.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nic z tego nie zast\u0119puje \u0142atania. Ka\u017cda om\u00f3wiona tutaj warstwa kupuje czas na to, co rzeczywi\u015bcie usuwa podatno\u015b\u0107, czyli na aktualizacj\u0119 dotkni\u0119tego oprogramowania. W przypadku PHP2Shell oznacza\u0142o to nowe pakiety PHP i przebudowane kontenery, i \u017cadna kontrola sieciowa tego nie zast\u0105pi\u0142a.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Na koniec oprzyj si\u0119 pokusie w\u0142\u0105czania ka\u017cdej klasy po przeczytaniu ostrze\u017cenia. Klasy takie jak Misc activity zawieraj\u0105 tysi\u0105ce regu\u0142 o niskiej warto\u015bci, kt\u00f3re g\u0142\u00f3wnie generuj\u0105 szum i zu\u017cywaj\u0105 t\u0119 sam\u0105 wydajno\u015b\u0107, kt\u00f3rej potrzebuj\u0105 przydatne klasy. Cicha, dobrze dostrojona lista zdarze\u0144, kt\u00f3r\u0105 rzeczywi\u015bcie czytasz, jest lepsza ni\u017c g\u0142o\u015bna, kt\u00f3r\u0105 uczysz si\u0119 ignorowa\u0107.<\/p>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Cz\u0119sto zadawane pytania<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy Threat Prevention chroni witryn\u0119 internetow\u0105 hostowan\u0105 na moim NAS?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Prawie wcale i nie w taki spos\u00f3b, jak sugeruje nazwa. Witryna internetowa jest obs\u0142ugiwana przez HTTPS, a Threat Prevention nie wykonuje przechwytywania TLS, wi\u0119c \u017c\u0105danie jest nieczytelne wsz\u0119dzie tam, gdzie widzi je router. W typowej konfiguracji \u017c\u0105danie staje si\u0119 czytelne dopiero po zako\u0144czeniu TLS przez reverse proxy, a ten skok zwykle odbywa si\u0119 w tej samej podsieci, wi\u0119c jest prze\u0142\u0105czany, a nie trasowany, i router nigdy go nie przesy\u0142a. U\u017cyj WAF opartego na reverse proxy dla witryny internetowej, a Threat Prevention pozostaw do tego, w czym sprawdza si\u0119 najlepiej.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Which option should I switch on to stop a specific CVE?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Usually none, because the answer depends on whether the vendor shipped a signature for it at all. Open Self-Defined Policy and you will find you can change the action on an existing signature but cannot add one of your own. If no rule exists in the feed, there is nothing to enable, and for a vulnerability a few days old that is the normal case.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Why does my event list only name one or two devices?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Because those are the devices receiving traffic the engine can actually read. On our network it is consistently the mail server, which answers cleartext SMTP on port 25. A web host behind a reverse proxy produces few entries not because it is attacked less, but because its traffic is encrypted at every point the router inspects.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy Threat Prevention bada ruch mi\u0119dzy urz\u0105dzeniami w mojej sieci LAN?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. Two devices in the same subnet reach each other through a switch, and the router is not in that path, so the packets are never offered to the inspection engine. The Monitored Interfaces table in Settings shows the real scope, and no option there extends it to same-subnet traffic.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy pozostawienie w\u0142\u0105czonego Threat Prevention jest bezpieczne?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Yes, with one caveat worth knowing. The recommended default passes traffic through unfiltered when the engine is saturated, which keeps your line up at the cost of inspection. The opposite mode drops that traffic instead. We have also had the engine wedge under a flood of harmless exploit attempts and start refusing a server&#8217;s outbound traffic, which cost us a mail outage, so include the router in your list of suspects when a machine goes quiet.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Czy Threat Prevention w og\u00f3le pom\u00f3g\u0142 w przypadku PHP2Shell?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No, and three separate reasons each would have been enough on their own. The traffic was encrypted everywhere the router looks, no Snort or Emerging Threats signature was published for either CVE, and the exploit has no payload shape to match because the first request is defined by the memory it consumes and the second looks completely ordinary. The fix was new PHP packages, with a reverse-proxy WAF covering the gap in the meantime.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Is disabling session.upload_progress enough on an unpatchable host?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>It helps and it is not enough. Switching it off removes one documented route to CVE-2026-109619, which is worth doing on a host you truly cannot update, but memory exhaustion is reachable by other means and the setting does nothing for CVE-2026-109618. Treat it as borrowed time and plan the package update.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">What should I buy or configure first for a NAS-hosted site?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Umie\u015b\u0107 reverse proxy z zarz\u0105dzanym zestawem regu\u0142 przed witryn\u0105, a nast\u0119pnie ogranicz \u017ar\u00f3d\u0142o tak, aby port 443 odpowiada\u0142 tylko tej sieci proxy. Te dwa kroki razem przenosz\u0105 punkt inspekcji w miejsce, w kt\u00f3rym \u017c\u0105danie jest czytelne, i usuwaj\u0105 obej\u015bcie, kt\u00f3re mog\u0142oby to zniweczy\u0107. Pozostaw Threat Prevention w\u0142\u0105czone do kontroli wychodz\u0105cego ruchu command and control oraz dla us\u0142ug przesy\u0142aj\u0105cych tekst jawny \u2014 bo tam wykonuje swoj\u0105 prawdziw\u0105 prac\u0119.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<h2 id=\"references-and-video-walkthroughs\" class=\"wp-block-heading\">Odniesienia i przewodniki wideo<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">G\u0142\u00f3wne \u017ar\u00f3d\u0142a dla wszystkiego, co opisano powy\u017cej, plus trzy poradniki warte po\u015bwi\u0119conego czasu.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/SRM\/help\/ThreatPrevention\/threatprevention_desc\" target=\"_blank\" rel=\"noreferrer noopener\">Centrum wiedzy Synology: Threat Prevention<\/a> covers requirements, modes and model support.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_14\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:14<\/a> lists the fixed PHP package versions for DSM, including the 7.4 build.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/php2shell\/Synology%20Statement%20on%20PHP2Shell%20Vulnerabilities\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Statement on PHP2Shell<\/a> names the affected packages and the one that needs a manual update.<\/li>\n\n<li><a href=\"https:\/\/developers.cloudflare.com\/waf\/managed-rules\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Cloudflare WAF managed rules<\/a> explains how managed rulesets are versioned and deployed.<\/li>\n\n<li><a href=\"https:\/\/www.cloudflare.com\/ips\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Zakresy adres\u00f3w IP Cloudflare<\/a> is the endpoint to read when locking an origin to the proxy instead of hard-coding addresses.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"SRM Threat Prevention \u2013 om\u00f3wienie ochrony sieci w czasie rzeczywistym\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/yT_xGpxGF7k?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Wyja\u015bnienie SRM Threat Prevention, w tym gdzie pakiet znajduje si\u0119 w sieci<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Test pr\u0119dko\u015bci routera Synology z w\u0142\u0105czon\u0105 funkcj\u0105 Threat Prevention.\" width=\"1200\" height=\"900\" src=\"https:\/\/www.youtube.com\/embed\/wuuRthcZQ_E?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Test przepustowo\u015bci z w\u0142\u0105czonym Threat Prevention \u2013 koszt, o kt\u00f3rym nikt nie wspomina<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Protecting Your Public Websites with Cloudflare WAF\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/NbEo8p2Hvt8?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Cloudflare o ochronie publicznych stron internetowych za pomoc\u0105 WAF, warstwy odczytuj\u0105cej \u017c\u0105danie<\/figcaption><\/figure>","protected":false},"excerpt":{"rendered":"<p>Threat Prevention is the package most people reach for the moment they decide to host a website on a Synology NAS. It sits on the router, it has a shield icon, and its dashboard counts attacks in the hundreds, so it looks like the thing that keeps a public site safe. We run it on [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22124,"comment_status":"open","ping_status":"closed","template":"","meta":{"_eb_attr":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"doc_category":[197],"doc_tag":[],"class_list":["post-22125","docs","type-docs","status-publish","has-post-thumbnail","hentry","doc_category-nas-hosting-101"],"year_month":"2026-10","word_count":3684,"total_views":"43","reactions":{"happy":"0","normal":"0","sad":"0"},"author_info":{"name":"Adair Hsu","author_nicename":"adairpk17","author_url":"https:\/\/synopower.club\/pl\/author\/adairpk17\/"},"doc_category_info":[{"term_name":"NAS Hosting 101","term_url":"https:\/\/synopower.club\/pl\/docs-category\/nas-hosting-101\/"}],"doc_tag_info":[],"_links":{"self":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/docs\/22125","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/docs"}],"about":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/types\/docs"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/comments?post=22125"}],"version-history":[{"count":2,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/docs\/22125\/revisions"}],"predecessor-version":[{"id":22127,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/docs\/22125\/revisions\/22127"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/media\/22124"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/media?parent=22125"}],"wp:term":[{"taxonomy":"doc_category","embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/doc_category?post=22125"},{"taxonomy":"doc_tag","embeddable":true,"href":"https:\/\/synopower.club\/pl\/wp-json\/wp\/v2\/doc_tag?post=22125"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}