SynoPower Club-punkt:<\/strong> Jag arbetade p\u00e5 supportsidan av Synology i flera \u00e5r, och de komprometterade maskinerna jag s\u00e5g blev n\u00e4stan aldrig besegrade av n\u00e5got smart. De hade fortfarande standardadministrat\u00f6rskontot aktiverat, en hanteringsport vidarebefordrad till internet, och ingen andra faktor. Bra NAS-s\u00e4kerhet \u00e4r mestadels tr\u00e5kigt arbete som utf\u00f6rs i r\u00e4tt ordning. Det som f\u00f6rv\u00e5nade mig efter att vi b\u00f6rjade vara v\u00e4rd f\u00f6r v\u00e5r egen butik \u00e4r hur mycket av jobbet som flyttas utanf\u00f6r NAS:en. Det mesta av trafiken vi avvisar idag avvisas innan den ens n\u00e5r v\u00e5r linje.<\/p>\n<\/blockquote>\n\n\n\n En privat NAS har en enda uppgift ur s\u00e4kerhetssynpunkt: att h\u00e5lla fr\u00e4mlingar borta fr\u00e5n inloggningssidan. En NAS som \u00e4r v\u00e4rd f\u00f6r en offentlig webbplats har motsatt problem. Fr\u00e4mlingar \u00e4r kunderna, och tusentals av dem m\u00e5ste ta sig in varje dag utan ett konto. Fr\u00e5gan \u00e4ndras fr\u00e5n vem som f\u00e5r ansluta till vad en anslutning f\u00e5r beg\u00e4ra.<\/p>\n\n\n\n D\u00e4rf\u00f6r slutade vi t\u00e4nka p\u00e5 NAS-s\u00e4kerhet som en produktfunktion och b\u00f6rjade rita upp det som en v\u00e4g. En f\u00f6rfr\u00e5gan till v\u00e5r butik passerar fem punkter, och var och en kan avvisa den:<\/p>\n\n\n\n Inget enskilt lager \u00e4r p\u00e5litligt. Varje lager finns d\u00e4r f\u00f6r den dag lagret framf\u00f6r det \u00e4r fel, felkonfigurerat eller helt enkelt f\u00f6rbisett.<\/p>\n\n\n\n Bra NAS-s\u00e4kerhet b\u00f6rjar n\u00e5gonstans som inte \u00e4r NAS:en. Den billigaste f\u00f6rfr\u00e5gan att f\u00f6rsvara sig mot \u00e4r den som aldrig kommer fram. Under de 24 timmarna innan vi skrev detta hanterade Cloudflare 78 690 f\u00f6rfr\u00e5gningar f\u00f6r v\u00e5r dom\u00e4n. Den besvarade 57 620 av dem fr\u00e5n sin cache, stoppade 5 590 som o\u00f6nskade och skickade endast 15 470 vidare till v\u00e5r ursprungsk\u00e4lla. Fyra av fem f\u00f6rfr\u00e5gningar anv\u00e4nde aldrig en enda CPU-cykel p\u00e5 NAS:en.<\/p>\n\n\n\n Vi har Pro-planen och k\u00f6r 15 anpassade brandv\u00e4ggsregler plus tv\u00e5 hastighetsgr\u00e4nser. Var och en av dem existerar p\u00e5 grund av en specifik d\u00e5lig dag. Tre exempel visar m\u00f6nstret:<\/p>\n\n\n\n Cloudflare Turnstile t\u00e4cker de former som brandv\u00e4ggen inte kan bed\u00f6ma: registrering, l\u00f6senords\u00e5terst\u00e4llning, kommentarer och kontaktformul\u00e4ret. Kontot som styr allt detta, och det hos v\u00e5r dom\u00e4nregistrator, kr\u00e4ver b\u00e5da en andra faktor. En angripare som kan \u00e4ndra din DNS beh\u00f6ver inte bryta din NAS.<\/p>\n\n\n\n Allt som Cloudflare sl\u00e4pper igenom n\u00e5r en Synology-router som k\u00f6r SRM, det andra NAS-s\u00e4kerhetslagret. Detta \u00e4r lagret som fanns i den ursprungliga anteckningen f\u00f6r den h\u00e4r artikeln: Hotdetektering blockerar ytterligare en v\u00e5g<\/em>. Det \u00e4r ett intr\u00e5ngsskyddssystem som j\u00e4mf\u00f6r paket med k\u00e4nda attacksignaturer, och v\u00e5rt system \u00e4r inst\u00e4llt p\u00e5 att automatiskt eliminera matchningar med h\u00f6g allvarlighetsgrad ist\u00e4llet f\u00f6r att bara logga dem.<\/p>\n\n\n\n Den 2 augusti 2026 utf\u00f6rde en adress 116 f\u00f6rs\u00f6k p\u00e5 en PHP-brist som bara drabbar Windows-servrar. Den kunde aldrig ha fungerat mot oss, och det \u00e4r po\u00e4ngen med historien: Threat Prevention stoppade alla f\u00f6rs\u00f6k, och n\u00e4r vi s\u00f6kte i webbserverns loggfiler efter\u00e5t fanns adressen inte alls d\u00e4r. Attacken slutade vid routern.<\/p>\n\n\n\n Tre enklare inst\u00e4llningar p\u00e5 samma l\u00e5da g\u00f6r lika mycket f\u00f6r NAS-s\u00e4kerheten som inspektionsmotorn g\u00f6r:<\/p>\n\n\n\n Den fr\u00e4mre NAS-enheten \u00e4r det f\u00f6rsta Synology-systemet som ett externt paket kan n\u00e5, s\u00e5 det \u00e4r h\u00e4r klassiska NAS-s\u00e4kerhetsr\u00e5d g\u00e4ller fullt ut. V\u00e5ra inst\u00e4llningar \u00e4r avsiktligt ooriginella:<\/p>\n\n\n\n Tv\u00e5 vanor \u00e4r lika viktiga f\u00f6r NAS-s\u00e4kerhet som switcharna. Vi n\u00e5r DSM utifr\u00e5n via QuickConnect eller inte alls, vilket \u00e4r anledningen till att ingen hanteringsport beh\u00f6ver vara \u00f6ppen. Och tillf\u00e4lliga medhj\u00e4lpare f\u00e5r tillf\u00e4lliga konton: n\u00e4r en entrepren\u00f6r eller en AI-agent beh\u00f6ver administrat\u00f6rs\u00e5tkomst skapar vi ett namngivet konto, l\u00e5ter arbetet slutf\u00f6ras och inaktiverar det samma dag.<\/p>\n\n\n\n WordPress k\u00f6rs inte p\u00e5 den fr\u00e4mre NAS:en. Det k\u00f6rs i en container inuti en Virtual DSM, en komplett andra kopia av DSM som hostas av Virtual Machine Manager. E-post, omv\u00e4nd proxyn och webbutiken finns d\u00e4rf\u00f6r i separata system med separata konton och separat lagring.<\/p>\n\n\n\n Isolering \u00e4r den del av NAS-s\u00e4kerhet som inte f\u00f6rs\u00f6ker f\u00f6rhindra ett intr\u00e5ng. Det begr\u00e4nsar vad ett intr\u00e5ng \u00e4r v\u00e4rt. Om ett WordPress-plugin n\u00e5gonsin komprometteras, landar angriparen i en container med en minnesgr\u00e4ns, inuti en virtuell maskin som inte inneh\u00e5ller n\u00e5gra postl\u00e5dor och inga s\u00e4kerhetskopior. Och eftersom hela maskinen \u00e4r en enda fil till Virtual Machine Manager, tar en \u00f6gonblicksbild f\u00f6re varje riskabel \u00e4ndring n\u00e5gra sekunder och en \u00e5terst\u00e4llning tar n\u00e5gra minuter.<\/p>\n\n\n\n Virtual Machine Manager inkluderar en Virtual DSM-instans gratis p\u00e5 modeller som st\u00f6ds, vilket r\u00e4cker f\u00f6r att prova den h\u00e4r layouten. Ytterligare instanser kr\u00e4ver en licens per instans.<\/p>\n\n\n\nVad NAS-s\u00e4kerhet inneb\u00e4r n\u00e4r NAS-enheten \u00e4r v\u00e4rd f\u00f6r en webbplats<\/h2>\n\n\n\n
\n
Lager 1: Cloudflare avvisar de flesta attacker innan de n\u00e5r oss<\/h2>\n\n\n\n
![\"Cloudflare-s\u00e4kerhetsanalys](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/cloudflare-security-analytics-mitigated-requests-scaled.webp\")
\n
Niv\u00e5 2: Hotf\u00f6rebyggande \u00e5tg\u00e4rder p\u00e5 Synology-routern<\/h2>\n\n\n\n
![\"Karta](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-router-threat-prevention-map.webp\")
\n
Niv\u00e5 3: NAS-s\u00e4kerhet inuti DSM, fr\u00e5n 2FA till automatisk blockering<\/h2>\n\n\n\n
\n
administration<\/code> och g\u00e4st<\/code> \u00e4r avst\u00e4ngda. Varje automatiserad inloggningsattack b\u00f6rjar med dessa tv\u00e5 namn.<\/li>\n\n\n\n![\"DSM-kontrollpanelens](\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/dsm-enforce-2fa-administrators-adaptive-mfa.webp\")
Lager 4: En Virtual DSM som inneh\u00e5ller skadan<\/h2>\n\n\n\n