Nhằm giúp bạn có thể tự bảo vệ bản thân trước những hacker tầm cỡ, chúng tôi sẽ viết bài chia sẻ cách cài đặt bảo mật dữ liệu quan trọng mà thường bị bỏ qua. Mà cuối cùng bao gồm các mẹo bổ sung để có thể giúp bạn đảm bảo tính toàn vẹn của dữ liệu.

Mẹo 1: Luôn cập nhật phiên bản mới và bật thông báo

Các nhà phát triển của Synology luôn phát hành các bản cập nhật DSM thường xuyên để cung cấp các cải tiến về chức năng và hiệu suất cũng như giải quyết các lỗ hổng bảo mật của sản phẩm.
Bất cứ khi nào lỗ hổng bảo mật phát sinh, Nhóm ứng phó sự cố bảo mật sản phẩm (PSIRT) của Synology sẽ tiến hành đánh giá và điều tra trong vòng 8 giờ và phát hành bản sửa chữa trong vòng 15 giờ tới để giúp ngăn chặn thiệt hại tiềm ẩn từ các cuộc tấn công zero-day.
Đối với hầu hết người dùng, chúng tôi đặc biệt khuyên bạn nên thiết lập cập nhật tự động để tự động cài đặt các bản cập nhật DSM mới nhất. *

Nhiều thiết bị Synology có tùy chọn chạy Virtual DSM bên trong Virtual Machine Manager, để tạo phiên bản ảo hóa của hệ điều hành DSM. Thực hiện kiểm tra nâng cấp bằng cách cài đặt phiên bản DSM mới nhất trên Virtual DSM của bạn và xác minh chức năng chính mà triển khai hiện tại của bạn yêu cầu trước khi tiếp tục cập nhật trong môi trường NAS Synology chính thức của bạn.

Một điều quan trọng khác cần xem xét là luôn cập nhật mọi thứ khi chúng xảy ra. Thiết lập thông báo trên NAS Synology của bạn và nhận thông báo qua email, SMS, trên thiết bị di động hoặc qua trình duyệt web của bạn khi xảy ra các sự kiện hoặc lỗi cụ thể. Nếu sử dụng dịch vụ DDNS của Synology, bạn có thể chọn nhận thông báo khi mất kết nối mạng bên ngoài. Hành động ngay lập tức khi có thông báo về khối lượng lưu trữ sắp hết dung lượng hoặc khi tác vụ sao lưu và khôi phục không thành công là một phần quan trọng để đảm bảo tính bảo mật lâu dài cho dữ liệu của bạn.

Chúng tôi cũng khuyến khích bạn thiết lập Tài khoản Synology của mình để nhận các bản tin tư vấn bảo mật và NAS của chúng tôi nhằm cập nhật các bản cập nhật tính năng và bảo mật mới nhất.

 

Mẹo 2: Run Security Advisor

Security Advisor là một ứng dụng được cài đặt sẵn có thể quét NAS của bạn để tìm các sự cố cấu hình DSM phổ biến, đưa ra gợi ý về những việc bạn có thể cần làm tiếp theo để giữ an toàn cho NAS Synology của mình. Ví dụ, nó có thể phát hiện những điều phổ biến như để mở quyền truy cập SSH, nếu có bất kỳ hoạt động đăng nhập bất thường nào đang xảy ra và nếu các tệp hệ thống DSM đã được sửa đổi.

 

Mẹo 3: Các tính năng bảo mật DSM cơ bản để thiết lập

Bạn có thể định cấu hình một số cài đặt bảo mật trong tab Bảng điều khiển > Bảo mật để bảo mật tài khoản người dùng của mình.

Chặn IP tự động

Mở Control Panel và đi tới Security > Auto Block . Bật tính năng tự động chặn để tự động chặn địa chỉ IP của các ứng dụng khác không đăng nhập được trong một số lần và khoảng thời gian cụ thể. Quản trị viên cũng có thể đưa vào danh sách đen các địa chỉ IP cụ thể để ngăn chặn các cuộc tấn công brute-force hoặc từ chối các tab ẩn danh.

Định cấu hình số lần thử dựa trên môi trường sử dụng và kiểu người dùng mà thiết bị của bạn sẽ thường xuyên sử dụng. Hãy nhớ rằng hầu hết các gia đình và doanh nghiệp sẽ chỉ có một địa chỉ IP bên ngoài cho người dùng của họ và địa chỉ IP thường động và sẽ thay đổi sau một số ngày hoặc vài tuần nhất định.

 

 

Bảo vệ tài khoản

Mặc dù Tự động chặn đưa vào danh sách đen các địa chỉ IP đã không thực hiện được quá nhiều lần xác thực. Bảo vệ tài khoản người dùng bằng cách chặn quyền truy cập của người dùng không đáng tin cậy.

Đi tới Control Panel > Security > Account Protection. Bạn có thể bật Bảo vệ tài khoản để bảo vệ tài khoản khỏi những người truy cập không đáng tin cậy sau một số lần đăng nhập không thành công. Điều này cải thiện tính bảo mật của DSM của bạn và giảm nguy cơ các tài khoản trở thành con mồi của các cuộc tấn công.

 

 

Bật HTTPS

Với HTTPS được bật, bạn có thể mã hóa và bảo mật lưu lượng mạng giữa NAS Synology của mình và các máy khách được kết nối, bảo vệ chống lại các hình thức nghe trộm hoặc tấn công trung gian phổ biến.

Đi tới Control Panel > Network > DSM Settings. Đánh dấu vào hộp kiểm Tự động chuyển hướng kết nối HTTP sang HTTPS. Bây giờ bạn sẽ kết nối với DSM qua HTTPS. Trong thanh địa chỉ, bạn sẽ nhận thấy rằng URL của thiết bị của bạn bắt đầu bằng “https: //” thay vì “http: //”. Lưu ý rằng số cổng mặc định cho https là 443, trong khi http theo mặc định sử dụng cổng 80. Nếu trước đó bạn đã có một số cài đặt tường lửa hoặc mạng nhất định, bạn có thể cần cập nhật chúng.

 

Nâng cao: Tùy chỉnh quy tắc Tường lửa

Tường lửa đóng vai trò như một rào cản ảo lọc lưu lượng mạng từ các nguồn bên ngoài theo một bộ quy tắc. Đi tới Control Panel > Security > Firewall để thiết lập các quy tắc tường lửa nhằm ngăn chặn đăng nhập trái phép và kiểm soát truy cập. Bạn có thể quyết định cho phép hoặc từ chối quyền truy cập vào các cổng mạng nhất định theo địa chỉ IP cụ thể, một cách hay để cho phép truy cập từ xa từ một văn phòng cụ thể hoặc chỉ cho phép truy cập vào một tác vụ hoặc giao thức cụ thể.

 

Mẹo 4: HTTPS Phần 2 – Hãy mã hóa

Chứng chỉ kỹ thuật số đóng một vai trò quan trọng trong việc kích hoạt HTTPS, nhưng thường đắt tiền và khó bảo trì, đặc biệt là đối với người dùng không phải là doanh nghiệp. DSM đã tích hợp hỗ trợ cho Let’s Encrypt, một tổ chức phát hành chứng chỉ tự động và miễn phí, để cho phép mọi người dễ dàng bảo mật kết nối của họ.

Nếu bạn đã có miền đã đăng ký hoặc đang sử dụng DDNS, hãy đi tới Control Panel > Security > Certificate. Nhấp vào Add a new certificate > Get a certificate from Let’s Encrypt, đối với hầu hết người dùng, bạn nên chọn “Set as default certificate”*.. Nhập tên miền của bạn để nhận chứng chỉ.

 

 

Khi bạn đã có chứng chỉ, hãy đảm bảo tất cả lưu lượng truy cập của bạn đều đi qua HTTPS (như được liệt kê trong Mẹo số 3).

Mẹo 5: Tắt tài khoản quản trị viên mặc định

Tên người dùng quản trị viên phổ biến có thể làm cho NAS Synology của bạn dễ bị tấn công bởi các bên độc hại sử dụng các cuộc tấn công bạo lực sử dụng kết hợp tên người dùng và mật khẩu chung. Tránh các tên thông thường như “admin”, “administrator”, “root” * khi thiết lập NAS của bạn. Chúng tôi khuyên bạn cũng nên đặt mật khẩu mạnh và duy nhất ngay sau khi thiết lập NAS Synology và vô hiệu hóa tài khoản quản trị mặc định của hệ thống **.

Nếu bạn hiện đang đăng nhập bằng tài khoản người dùng “quản trị”, hãy chuyển đến Control Panel > User và tạo tài khoản quản trị mới. Sau đó, đăng nhập bằng tài khoản mới và tắt “quản trị viên” mặc định của hệ thống.

 

Mẹo 6: Đặt mật khẩu phức tạp

Mật khẩu mạnh bảo vệ hệ thống của bạn khỏi bị truy cập trái phép. Tạo một mật khẩu phức tạp bao gồm các chữ cái viết hoa, chữ số và ký tự đặc biệt theo cách mà chỉ bạn mới có thể nhớ.

Sử dụng một mật khẩu chung cho nhiều tài khoản cũng là một lời mời đối với hacker. Nếu một tài khoản bị xâm nhập, hacker có thể dễ dàng kiểm soát các tài khoản khác của bạn. Điều này xảy ra thường xuyên đối với các trang web và các nhà cung cấp dịch vụ khác.

Nếu bạn gặp khó khăn khi ghi nhớ các mật khẩu phức tạp và duy nhất cho các tài khoản khác nhau, trình quản lý mật khẩu (chẳng hạn như 1Password, LastPass hoặc Bitwarden) có thể là giải pháp tốt nhất của bạn. Bạn chỉ phải ghi nhớ một mật khẩu – mật khẩu chính – và trình quản lý mật khẩu sẽ giúp bạn tạo và điền thông tin đăng nhập cho tất cả các tài khoản khác của bạn. Nếu bạn quản lý NAS Synology xử lý xác thực *, bạn có thể tùy chỉnh chính sách mật khẩu người dùng để thắt chặt các yêu cầu bảo mật mật khẩu cho tất cả các tài khoản người dùng mới. Đi tới Control Panel > User > Advanced và Áp dụng quy tắc độ mạnh mật khẩu trong phần Cài đặt mật khẩu. Chính sách này sẽ được áp dụng cho bất kỳ người dùng nào tạo tài khoản mới.

 

Mẹo 7: Xác minh 2 bước

Nếu bạn muốn thêm một lớp bảo mật bổ sung cho tài khoản của mình, chúng tôi thực sự khuyên bạn nên bật xác minh 2 bước. Để thực thi xác minh 2 bước trên tài khoản DSM và Tài khoản Synology, bạn sẽ cần thiết bị di động và ứng dụng xác thực hỗ trợ giao thức Mật khẩu một lần dựa trên thời gian (TOTP). Việc đăng nhập sẽ yêu cầu cả bằng chứng xác thực người dùng của bạn và mã 6 chữ số có giới hạn thời gian được truy xuất từ ​​Microsoft Authenticator, Authy hoặc các ứng dụng xác thực khác để ngăn truy cập trái phép.

Đối với Tài khoản Synology, nếu bạn bị mất điện thoại với ứng dụng xác thực *, bạn có thể sử dụng các mã dự phòng được cung cấp trong quá trình thiết lập xác thực 2 bước để đăng nhập. Điều quan trọng là phải giữ các mã này an toàn bằng cách tải xuống ở đâu đó hoặc in chúng ra. Hãy nhớ giữ những mã này an toàn nhưng có thể truy cập được.

Trên DSM, nếu bạn mất trình xác thực, bạn có thể đặt lại xác minh 2 bước làm phương án cuối cùng. Người dùng thuộc nhóm quản trị viên có thể đặt lại cấu hình.

Nếu tất cả tài khoản quản trị viên không thể truy cập được nữa, bạn sẽ cần đặt lại thông tin đăng nhập và cài đặt mạng trên thiết bị của mình. Giữ nút ĐẶT LẠI phần cứng trên NAS của bạn trong khoảng 4 giây (bạn sẽ nghe thấy tiếng bíp), sau đó khởi chạy Support Synology để cấu hình lại thiết bị của bạn. **

 

Mẹo 8: Thay đổi các cổng mặc định

 

Mặc dù việc thay đổi các cổng HTTP (5000) và HTTPS (5001) mặc định của DSM thành các cổng tùy chỉnh không thể ngăn chặn các cuộc tấn công có chủ đích nhưng nó có thể ngăn chặn các mối đe dọa phổ biến chỉ tấn công các dịch vụ được xác định trước. Để thay đổi các cổng mặc định, đi tới Control Panel > Network > DSM Settings và tùy chỉnh số cổng. Bạn cũng nên thay đổi cổng SSH (22) mặc định nếu bạn thường xuyên sử dụng quyền truy cập shell.

Bạn cũng có thể triển khai một proxy ngược để giảm các tấn công tiềm ẩn đến chỉ các dịch vụ web cụ thể để tăng cường bảo mật. Một proxy ngược hoạt động như một trung gian cho các giao tiếp giữa máy chủ nội bộ (thường) và các máy khách từ xa, ẩn thông tin nhất định về máy chủ, chẳng hạn như địa chỉ IP thực của nó.

 

Mẹo 9: Tắt SSH / telnet khi không sử dụng

Nếu bạn là người dùng thành thạo thường yêu cầu quyền truy cập shell, hãy nhớ tắt SSH / telnet khi không sử dụng. Vì quyền truy cập root được bật theo mặc định và SSH / telnet chỉ hỗ trợ đăng nhập từ tài khoản quản trị, tin tặc có thể ăn cắp mật khẩu của bạn để truy cập trái phép vào hệ thống của bạn. Bạn cũng cần có dịch vụ thiết bị đầu cuối, chúng tôi khuyên bạn nên đặt mật khẩu mạnh và thay đổi số cổng SSH mặc định (22) để tăng cường bảo mật. Bạn cũng có thể xem xét tận dụng VPN và giới hạn quyền truy cập SSH chỉ đối với các IP cục bộ hoặc IP đáng tin cậy.

 

Mẹo 10: Mã hóa các thư mục chia sẻ

DSM hỗ trợ mã hóa AES-256 cho các thư mục chia sẻ của bạn để ngăn chặn việc trích xuất dữ liệu khỏi các mối đe dọa vật lý. Quản trị viên có thể mã hóa các thư mục chia sẻ mới được tạo và hiện có.

Để mã hóa các thư mục chia sẻ hiện có, hãy đi tới Control Panel > Shared Folder và Chỉnh sửa thư mục. Thiết lập khóa mã hóa trong tab Mã hóa và DSM sẽ bắt đầu mã hóa thư mục. Chúng tôi thực sự khuyên bạn nên lưu tệp khóa được tạo ở một vị trí an toàn, vì không thể khôi phục dữ liệu đã mã hóa mà không có cụm mật khẩu được sử dụng hoặc tệp khóa.

 

Mẹo khác: Tính toàn vẹn của dữ liệu

Bảo mật dữ liệu được liên kết chặt chẽ với tính nhất quán và độ chính xác của dữ liệu của bạn – tính toàn vẹn của dữ liệu. Bảo mật dữ liệu là điều kiện tiên quyết đối với tính toàn vẹn của dữ liệu, vì truy cập trái phép có thể dẫn đến giả mạo dữ liệu hoặc mất dữ liệu, khiến dữ liệu quan trọng của bạn trở nên vô dụng.Các mối đe dọa từ các hacker luôn tiềm ẩn, và bạn có thể vào danh sách nạn nhân bất cứ lúc nào nếu bạn không cẩn thận. Khi bạn đang sử dụng NAS Synology để cho nhiều thiết bị được kết nối từ ở nhà hay tại nơi làm việc, những hacker càng có nhiều lỗ hổng để có thể truy cập vào hệ thống tìm ra lỗ hổng bảo mật và ăn cắp dữ liệu. Do đó việc backup dữ liệu hay áp dụng 10 mẹo ở trên không phải làm một lần là đủ, mà phải làm thường xuyên liên tục. Thì việc đảm bảo an toàn dữ liệu mới đạt ở mức cao nhất.