🎋 竹子日誌
· 系列:zero-trust

從 Synology NAS 勒索事件，看服務隱藏如何降低漏洞暴露風險

#安全 #架構 #工程實務

NAS 同時承載檔案共享、備份、協作與遠端管理等功能，也因此集中保存了企業大量重要資料。一旦攻擊者取得設備控制權，影響範圍可能涵蓋正式文件、應用程式資料，以及存放於同一設備上的備份。

近期 HKEPC 報導，部分 Synology NAS 遭勒索攻擊，檔案被加上「.L0CK3D」副檔名。Synology 則於 2026 年 10 月 29 日發布聲明，指出已發現攻擊者利用一項於 2024 年 12 月修補的漏洞，攻擊仍執行舊版 DSM 的設備。由於媒體與官方對攻擊入口的說明有所差異，不能將所有受害案件直接歸因於同一條漏洞利用鏈。

從防護架構來看，這起事件值得關注的問題是：在完成身分驗證之前，外部來源是否已經能夠接觸 NAS 的服務？

——

對外開放服務，代表登入前就存在攻擊面

企業為了提供遠端存取，常透過 NAT 與連接埠轉送，將 NAS 的管理介面或應用服務發布至網際網路。

在這種架構下，外部來源不需要具備合法帳號，就能先與服務建立網路連線，向 Web 伺服器、API 或其他協定處理元件送出請求。帳號密碼驗證只是後續流程中的一道控制。

如果漏洞存在於驗證之前的請求處理流程，攻擊者便可能不經正常登入程序，直接觸發漏洞。因此，即使企業已啟用 MFA，也不能將它視為所有未授權遠端漏洞的防護措施。

對外開放架構下，請求在登入驗證之前就已抵達 NAS 任意網際網路來源經由路由器的連接埠轉送，直接連到 NAS 的 Web 伺服器與 API；登入驗證位於 NAS 內部的後段，驗證前的請求處理流程已暴露在外。 任意來源 無需合法帳號 路由器 NAT／連接埠轉送 NAS（DSM） Web／API 請求處理流程 登入驗證 帳號密碼＋MFA 驗證前的漏洞在這裡被觸發 還沒登入，請求就已經送到 NAS 的服務上
透過連接埠轉送發布 NAS 服務時，任何來源都能在登入驗證之前把請求送進 Web 伺服器與 API；漏洞若在這段流程裡，MFA 擋不住。

這裡需要區分兩個層次：應用程式的登入驗證，決定使用者能否操作功能；網路層與服務層的存取控制，則決定對方是否有機會接觸應用程式。

——

Merak 將存取控制前移至服務連線之前

Merak 服務隱藏架構，透過預設拒絕未授權連線的方式，將身分驗證與授權放在受保護服務的連線建立之前。

以 NAS 為例，部署時可將 DSM 管理介面、檔案服務及相關應用納入保護範圍，並移除原有的公網直連入口。使用者須先通過 Merak 的驗證與授權，才能建立通往指定服務的加密連線。

這種設計的重點，是讓 NAS 不必直接接收來自任意網際網路來源的應用請求。對於仰賴公網可達性進行掃描與漏洞利用的攻擊，可在請求抵達 NAS 前先限制其連線路徑。

導入服務隱藏後，驗證與授權移到連線建立之前 任意來源的直連入口已移除；使用者先通過 Merak 的 mTLS、MFA 與 RBAC 檢查，才能建立通往 NAS 指定服務的加密連線。未授權來源在抵達 NAS 前就被拒絕。 已授權使用者 員工／維運人員 未授權來源 掃描／漏洞利用 Merak 預設拒絕未授權連線 mTLS · MFA · RBAC 先驗證、授權，再連線 NAS DSM／檔案服務 加密連線 在抵達 NAS 前被拒絕 公網直連入口已移除
服務隱藏把身分驗證與授權放到連線建立之前：通過 Merak 檢查的使用者才拿得到通往 NAS 的加密連線，未授權來源連 NAS 的服務都碰不到。

在這個架構中，各項控制分別負責不同工作：

  • 預設拒絕未授權連線：限制外部來源直接接觸受保護服務。
  • mTLS 雙向驗證：在連線雙方之間驗證憑證與身分。
  • MFA：加強使用者身分驗證，降低單一密碼遭竊所造成的風險。
  • RBAC 服務層級授權：依角色開放必要服務，限制可連線的範圍。

例如，一般員工可以被授權使用 NAS 檔案服務，但不具備連線至 DSM 管理介面的權限；維運人員則依職務取得管理服務的存取權。即使通過驗證，也不代表能連到所有內部服務。

RBAC 依角色決定能連到 NAS 的哪些服務 一般員工可連線至 NAS 檔案服務，但無法連線至 DSM 管理介面；維運人員依職務可連線至 DSM 管理介面與檔案服務。 一般員工 維運人員 NAS 檔案服務 DSM 管理介面 已授權 已授權 未授權
通過驗證不等於能連到所有服務：一般員工只開放檔案服務，DSM 管理介面只留給依職務取得權限的維運人員。

這類服務層級授權，仍須搭配 NAS 本身的帳號、共享資料夾與檔案權限，才能完整限制使用者可執行的操作。

——

降低暴露風險，關鍵在於沒有繞過路徑

服務隱藏能否發揮效果，取決於存取路徑是否完整納管。

如果 NAS 已納入 Merak 保護，但路由器仍保留直接連至 NAS 的連接埠轉送，外部來源就可能繞過驗證機制。其他遠端存取入口、反向代理與內部網路路徑，也需要一併盤點。

導入服務隱藏後仍需盤點的繞過路徑 經過 Merak 驗證與授權的路徑是唯一應存在的入口；路由器殘留的連接埠轉送、其他遠端存取入口與反向代理、內部網路路徑，都可能繞過驗證直接抵達 NAS。 外部來源 Merak 驗證與授權 NAS 殘留的連接埠轉送 其他遠端入口／反向代理 內部網路路徑 繞過驗證
受保護服務應只接受經 Merak 授權路徑而來的連線；殘留的連接埠轉送、其他遠端入口、反向代理與內部網路路徑，都要一起盤點並關閉。

部署時應確認受保護服務只接受經授權路徑而來的連線，並檢查網路區隔與防火牆規則。單純更換連接埠、隱藏網址或不公開 DNS 名稱，都不足以建立這種存取限制。

——

服務隱藏降低可達性，修補與備份處理剩餘風險

Merak 能降低未授權來源直接利用 NAS 服務漏洞的機會，尤其適合保護僅供員工、維運人員或特定合作對象使用的服務。

但服務隱藏不會消除設備本身的漏洞。若攻擊來自已獲授權且遭入侵的端點，或勒索程式已在 NAS 內執行，仍須依靠端點防護、最小權限、系統修補與事件應變處理。對具有寫入權限的合法連線，服務層級授權也不能自行判斷每一次檔案修改是否出於惡意。

因此，NAS 防護需要同時處理三件事：限制誰能接觸服務、持續修補可被利用的漏洞，以及保留攻擊者無法輕易改寫或刪除的備份。

NAS 防護需要同時處理的三件事 第一層是限制誰能接觸服務，由服務隱藏負責；第二層是持續修補可被利用的漏洞；第三層是保留攻擊者無法輕易改寫或刪除的備份。三者分別處理不同風險，無法互相取代。 ① ② ③ 限制誰能接觸服務 持續修補漏洞 不可輕易改寫的備份 服務隱藏・預設拒絕 降低公網可達性 更新 DSM 與套件 縮短漏洞存在時間 攻擊者難以改寫或刪除 勒索發生後仍可還原 三件事處理不同風險，彼此無法取代
服務隱藏負責第一件事：縮小服務可被接觸的範圍；修補與備份處理它管不到的剩餘風險，三者缺一不可。

Merak 在其中的角色，是先縮小服務可被接觸的範圍。讓 NAS 的管理與檔案服務僅對通過驗證及授權的身分開放，能減少企業在漏洞公告後、修補完成前，持續暴露於公網攻擊的風險。

——

參考資料

留言