大周末的这回轮到了 NAS

群晖勒索事件，虽然我们没有中招，但 NAS 是开放公网访问，先改了吧。

勒索

大量群晖（Synology）NAS设备近日遭到名为 C3RB3R（Cerber变种） 的大规模勒索病毒攻击，文件被加密为 .LOCK3D 或 .L0CK3D 后缀，并在目录中留下 read-me3.txt 勒索信。

群晖官方紧急发布公告，确认有NAS用户遭加密数据并勒索赎金，官方初步排查认为攻击者利用了2024年12月已修补的CVE-2024-10441漏洞（CVSS 9.8分），并列出各分支的最低安全版本。

不管怎么样，先更新版本。

检查了，我们后端的版本是最新的，因为我们一直保持自动更新。

有不少的地方要配置。

QuickConnect 不需要端口转发就能从外网访问，最容易被忽略。

控制面板 → 外部访问 → QuickConnect，取消勾选"启用 QuickConnect"，然后点应用。

控制面板 → 外部访问 → DDNS，把已添加的 DDNS 条目删掉（例如 xxx.synology.me）。

还好，我们没有 DDNS 条目。

群晖端：控制面板 → 外部访问 → 路由器配置，删除所有已创建的转发规则。
路由器端：登录路由器后台，删除指向 NAS 的端口转发（常见的是 5000/5001、6690、443、80 等），检查 NAS 有没有被设为 DMZ 主机。最好同时关闭路由器的 UPnP，防止 NAS 或其他套件自动开端口。

控制面板 → 安全性 → 防火墙，勾选"启用防火墙"，编辑规则：

先添加允许规则：端口选"全部"，来源 IP 选"子网"，分别添加你的内网网段，例如 192.168.0.0/255.255.0.0、10.0.0.0/255.0.0.0、172.16.0.0/255.240.0.0。
在下方"如果没有符合的规则"选择拒绝访问。

注意一定要先加允许内网的规则，再设拒绝，否则会把自己锁在外面。如果开了 IPv6，也要考虑加上 fe80::/10 等 IPv6 内网规则或直接关闭 IPv6。

这里的配置要小心点，首先防火墙要开启自动可以访问的配置。

类似一个服务器，如果你开防火墙之前，不开 22 端口，结果你自己也没有办法 SSH 到服务器上了，整个服务器要重装。

对于没有怎么玩过的，或者机器上面有重资产的一定要小心。

如果公司或者家庭中部署了 NAS ，现在的 NAS 基本上 7X24 运行的机器，等于就是一台服务器，上面可能会保留有公司的重要文档和资产，及时做好冷备份，更新软件才能避免不必要的麻烦。