Gebruikers Asustor-nassystemen melden infecties met Deadbolt-ransomware - update

Verschillende gebruikers melden dat hun Asustor-nassystemen zijn geïnfecteerd met ransomware. Het gaat om de Deadbolt-ransomware, die eerder systemen van QNAP trof. Gebruikers wordt aangeraden om deze af te sluiten van internet totdat er een patch is.

Verschillende gebruikers op Reddit en het forum van Asustor melden dat hun Asustor-systemen zijn getroffen door de Deadbolt-ransomware. Gebruikers melden dat ze hoge schijfactiviteit zagen. Toen ze probeerden in te loggen op hun nas, kregen ze een bericht te zien dat hun bestanden zijn versleuteld, waarbij wordt gevraagd om een betaling met cryptocurrency.

Gebruikers speculeren dat de gijzelsoftware toegang tot de nas krijgt via EZ Connect, waarmee ze via internet kunnen inloggen op hun systeem. Asustor heeft zelf nog niet gereageerd op de ransomwareberichten en dus is de oorzaak niet bevestigd.

Gebruikers die nog niet getroffen zijn, wordt op Reddit en het forum aangeraden om hun nassysteem uit te schakelen in afwachting van een oplossing door Asustor. Gebruikers wordt in ieder geval aangeraden om EZ Connect, auto-updates en ssh uit te schakelen. Het is ook verstandig om de poorten die de nas gebruikt, af te sluiten via een router en om communicatie met de nas alleen toe te staan via lan.

Los van de lokale bestanden op de nas schrijft een gebruiker dat ook bestanden van de nas die zijn gesynchroniseerd naar Google Drive en OneDrive, werden versleuteld, merkte Tom's Hardware op. De gebruiker kon zijn of haar OneDrive-bestanden herstellen, maar op Google Drive was dat niet het geval. Het is niet bekend wanneer Asustor een eventuele patch uitrolt. Tweakers heeft hierover vragen uitstaan bij het bedrijf. Het is ook niet bekend of alle Asustor-nassystemen kwetsbaar zijn.

Update, 12.16 uur: Asustor vertelt aan Tweakers dat het op de hoogte is van de ransomwareberichten en dat het onderzoek doet naar het probleem. Het bedrijf verwacht uiterlijk morgen met herstelfirmware te komen, waarmee getroffen gebruikers hun nas weer kunnen gebruiken. Verloren bestanden kunnen daarmee echter niet worden hersteld, tenzij de gebruiker een back-up heeft. Of de herstelfirmware ook het eventuele beveiligingslek oplost, is niet bekend.

Reacties (89)

[Sensor55]

Nog even samenvatting van wat info kanalen:
Reddit: Ransomware Attack
Reddit: Ransomware Attack - Megathread

Asustor forum: Deadbolt ransomware

Asustor: Deadbolt Ransomware Contact Form

Ik merkte zelf dat er iets aan de hand was doordat mijn ShareLinks niet meer werken van buiten naar mijn NAS toe. Lijkt er op dat Asustor in elk geval zijn eigen myasustor.com servers uitgezet heeft, zodat er geen infecties meer bij kunnen komen.
Het lijkt dat ik zelf geen schade heb (geen versleutelde bestanden).

[Reactie gewijzigd door Sensor55 op 22 juli 2024 22:13]

[ArjenB64]

Bedankt voor de samenvatting. Mijn bestanden op de NAS zijn wel versleuteld, gelukkig heb ik van het belangrijkste een backup.

[Niekniek89]

Er is zojuist een nieuwe firmware upgrade aangeboden:

https://www.asustor.com/service/release_notes#adm4

[Harald27]

Dit heeft bij mijn geholpen gelukkig.

[themadone]

Je Nas met data direct aan het internet, dan is het ook wel een beetje je eigen schuld natuurlijk.

Misschien.moeten fabrikanten ook eens stoppen met de apps en makkelijke software die dit bij onwetende gebruikers mogelijk maakt.

Een nas hoort niet direct aan internet!

[M2M]

Mijn internetkabel zit niet in de NAS geplugd, maar in mijn router. De NAS zit in de router. Is dat dan wel OK?

Het is echter een lastige situatie. De eindgebruiker wil gebruiksgemak (= NAS overal toegankelijk), zonder veel of complex instelwerk. Hoe zou dit gerealiseerd kunnen worden op een veilige manier?

[Reactie gewijzigd door M2M op 22 juli 2024 22:13]

[The Zep Man]

Het is echter een lastige situatie. De eindgebruiker wil gebruiksgemak (= NAS overal toegankelijk), zonder veel of complex instelwerk. Hoe zou dit gerealiseerd kunnen worden op een veilige manier?

Een gebruiksvriendelijke 'app' die een VPN verbinding opzet? Vaak hebben standaard VPN oplossingen zoals OpenVPN en WireGuard (met een vrolijk client-side front-endje voor een goede gebruiksvriendelijkheid) een kleiner aanvalsoppervlak dan de verschillende losse diensten die een NAS aanbiedt.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 22:13]

[Wachten...]

En zou je een VPN ook altijd boven een reverse proxy kiezen (met eigen domeinnaam)?

Ik ben hier wel benieuwd naar, want het gebruiksgemak van een reverse proxy is wel fijn. Je hebt hier helemaal geen app o.i.d. voor nodig.

[The Zep Man]

En zou je een VPN ook altijd boven een reverse proxy kiezen (met eigen domeinnaam)?

De belangrijkste taken van een reverse proxy zijn het aanbieden van meerdere diensten via een enkel IP adres+poort/webadres en eventueel loadbalancing. Een reverse proxy voegt weinig toe aan beveiliging, tenzij je hem als WAF in gaat zetten (waarvoor je TLS termination op de reverse proxy moet doen). Dat is veel maatwerk per webapplicatie, en je ontsluit nog steeds delen van de webapplicatie naar het internet.

Een reverse proxy is ideaal als je een webapplicatie deels wilt aanbieden op internet. Denk aan Nextcloud, maar enkel om publiekelijk bestanden te delen zonder gebruikers de mogelijkheid te geven om in te loggen. Dat kan overigens ook op de webserver zelf met wat configureerwerk, maar vaak is een reverse proxy als tussenpartij fijn om het geheel te stroomlijnen. Als aanvulling op een dienst die via VPN volledig bereikbaar is kan een reverse proxy dus nuttig zijn.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 22:13]

[Wachten...]

Dank voor je heldere uitleg. Dan is het toch maar beter om een VPN te overwegen t.o.v. een reverse proxy.
Wat jij al zegt, de WAF is echt geweldig met reverse proxy, maar het laatste wat je wilt is je NAS op een onveilige manier benaderen.

Ik ga me eens verdiepen in Wireguard op mijn Raspberry Pi

[vpm]

Dat is erg eenvouding met PiVPN: https://pivpn.io/

[Wachten...]

Ja dank je!

Ik heb er alleen eens naar gekeken (al een tijd terug) maar volgens mij is wireguard nog wel een stuk gebruiksvriendelijker. Het voornaamste probleem is mijn vrouw en nog een familielid die op de server moeten komen. Dit was in ieder geval met Wireguard echt enorm simpel op te zetten d.m.v. een app.

Ik ga ze beide nog eens naast elkaar leggen. Wellicht biedt de één toch wat voordelen t.o.v. de ander.

[PrinsEdje80]

Zelf heb ik OpenVPN via pivpn op mijn RPi geïnstalleerd... Werkt perfect! Ik heb nooit Wireguard geprobeerd, maar dat is ook een optie via de pivpn installer.

[vpm]

PiVPN heeft een optie om Wireguard te installeren, zoals hieronder ook al eens aangegeven.
Certificaten beheren is ook super simpel dankzij de CLI. Kwestie van scp-en naar je device en klaar. In mijn ervaring is Wireguard ook veel sneller en makkelijker op te zetten in de router.

[Reactie gewijzigd door vpm op 22 juli 2024 22:13]

[TweakerCarlo]

Als die vpn server aan de edge hangt is het geen probleem en PPTP vermijden.
Je wilt eigenlijk niet dat die server in je netwerk hangt. Als je eenmaal binnen bent.

[vpm]

Kun je nader uitleggen wat je bedoelt? Mijn netwerk jargon is niet zo up to date

[Freakster86]

Volgens mij is een een Argo Tunnel van Cloudflare nog een stukje veiliger (gratis service): https://blog.cloudflare.c...20routable%20IP%20address.

Ik moet hier nog mee aan de slag, dus pin me er niet op vast, maar het grote voordeel t.o.v. een reverse proxy lijkt toch wel dat je geen poorten meer hoeft open te zetten. Scheelt weer het nodige geklop op de deur door bots. Een lek als dit houd je er niet mee tegen, maar het geeft je wel wat extra veiligheid (t.o.v. een reverse proxy). Verder natuurlijk altijd
- updates installeren
- 2FA instellen
- Fail2Ban instellen (zie ook firewall optie bij cloudflare zelf; blokkeer alles van buiten NL bijvoorbeeld)
- backups, backups, backups.

[The Zep Man]

Volgens mij is een een Argo Tunnel van Cloudflare nog een stukje veiliger (gratis service):

Dat ligt eraan. Cloudflare doet dan wel TLS termination, en is effectief een (Amerikaanse!) man-in-the-middle. Het ligt aan de use case of dat acceptabel is of niet.

[Z80]

Het is in dit geval wel de bedoeling dat de tunnel binnen de muren van je eigen huis begint. Dus in je eigen router/firewall. Niet bij een externe partij die vervolgens weer een internetlijntje naar je nas moet hebben.
De vpn is om enkel en alleen vanuit een apparaat dat jij bezit direct bij je nas te kunnen. Dat verder iedereen buiten te sluiten. En de nas zelf niet direct via internet benaderbaar te maken, op geen enkele manier.

[AddictIT]

Ik zou het niet beter kunnen verwoorden!

In deze tijden wordt er heel veel kritiek gegeven op "legacy" VPN oplossingen, maar voor dit soort use cases is het namelijk ideaal.

Zoals aangegeven:
- Reverse Proxy voor fijnmazige controle op welke diensten je wil aanbieden, maar toch op een uniforme manier voor alle diensten, al dan niet met WAF en TLS termination.

- VPN als je gebruiksgemak wil hebben naar meerdere interne diensten die anders niet publiek benaderbaar moeten zijn, of waar het moeilijk is om op een degelijke manier security voor in te regelen.
(Synology is hier een goed voorbeeld van, op zich security-matig goed in te regelen, maar SSO regelen met een reverse proxy is onbegonnen werk, dus handiger middels een VPN zoals WireGuard)

[borft]

Het doet iets totaal anders. Als er een lek op de applicatielaag zit, gaat een reverse proxy je niet helpen, die stuurt gewoon braaf de http requests door. Een VPN beveiligt op de netwerklaag. Als je daar de authenticatie op orde hebt, kan niemand bij de service komen. (overigens sluit het een het ander niet uit).

Overigens gaat een VPN je hier ook niet altijd helpen. Immers, je NAS hangt veelal gewoon in je LAN. Als iemand dus toegang tot bv een browser krijgt (javascript anyone), dan is ie je firewall/VPN voorbij, en kan ie alsnog bij je NAS Komen.

[Reactie gewijzigd door borft op 22 juli 2024 22:13]

[Wachten...]

Ja klopt, maar je komt dan op het punt om te zeggen dat je geen internetkabel in je pc of nas moet steken. Dus dat is gewoonweg niet meer gebruiksvriendelijk.

Ik dacht zelf alleen altijd dat als je reverse proxy zou gebruiken met overal sterke wachtwoorden en 2FA dat je dan wel redelijk goed zou zitten, maar een VPN is dus blijkbaar wel echt noodzakelijk.

[borft]

als je een reverse proxy gebruikt, die ook ssl termination doet (met geldige certificaten), https forceert, en daar authenticatie doet, dan lijkt me dat ook een prima oplossing.

[-Tim-]

Zoals themadone al zegt is het beste natuurlijk om je NAS niet toegankelijk te maken, zeker als je niet weet waar je mee bezig bent en wat de risico's zijn. Een alternatief om hem wel remote toegankelijk te houden is om een VPN te gebruiken. De makkelijkste manier hiervoor is Tailscale, waar je alleen op elk apparaat even hoeft in te loggen met je Google/Microsoft/Github account en de software onder water een Wireguard mesh netwerk voor je opzet.

[Reactie gewijzigd door -Tim- op 22 juli 2024 22:13]

[M2M]

En dat is allemaal prima bedacht voor mensen die deze website bezoeken en enige inhoudelijke kennis hebben. Maar er zijn vrij veel mensen die geen inhoudelijke kennis hebben op dit vlak en nog nooit van wireguard gehoord hebben. Laat staan vertrouwen hebben in een mesh netwerk waarvan ze de naam niet kennen, terwijl ze thuis ook een ASUS laptop hebben staan die prima functioneert.

[xxxneoxxx]

'Zeker als je niet weet waar je mee bezig bent.' De oplossing is voor deze mensen om 'even dit en dit in te richten, multi factor authentication erop aan te zetten via de vpn, rode dropveter in de rode en blauwe in de blauwe en Bob's your uncle!'
Ik moet altijd wel lachen om reacties van deze strekking.

[GertMenkel]

Als ik mijn oma of vader vertel om een mesh VPN van Tailscale te installeren op de NAS, dan ligt er een stuk lichtdoorlatende stof en de staart van een knuffel over de NAS heen de volgende keer dat ik langskom.

Wat je noemt is wellicht de makkelijkste manier om het veilig te houden, maar het is in elk geval niet makkelijk. Juist de mensen die niet weten wat ze aan het doen zijn lopen hier gevaar, en geen van alle opties om de boel veilig te maken is makkelijk (of wenselijk).

De meest gebruiksvriendelijk manier zou nog wel eens kunnen zijn om elke NAS via Tor beschikbaar te maken. Geheim adres, van overal beschikbaar, plus je leert mensen aan TOR te gebruiken, wat hun privacy en die van alle andere TOR-gebruikers ten goede komt. Je krijgt er een gratis laag encryptie bij, zonder accounts of TLS gezeik.

Nog steeds niet makkelijk, verre van snel, maar je hoeft weinig extra software te installeren en loopt geen risico dat Tailscale of iets dergelijks met je routering in de knoop gaat zitten. Misschien dat je op een bedrijfsnetwerk vriendelijk gevraagd zal worden om met dat soort dingen uit te scheiden, maar dat is ook niet per se een slecht idee.

[Reactie gewijzigd door GertMenkel op 22 juli 2024 22:13]

[GertMenkel]

Gebruiksgemak en veiligheid zijn vaak directe tegenovergestelden. Een voordeur zonder slot is een stuk makkelijker, maar een stuk minder veilig. Een auto zonder gordels maakt in- en uitstappen veel makkelijker, maar je bent wel dood als je een boom raakt.

De enige manier om dit veilig te doen, is door geforceerd updates te pushen en apparaten die niet meer worden onderhouden door de fabrikant na de eerste de beste exploit direct te bricken. Dat wil niemand, natuurlijk.

Daarom is mijn conclusie ook: gebruikersvriendelijk en veilig een apparaat aan het internet hangen is niet mogelijk. Het wordt een stuk makkelijker om zo'n apparaat achter je firewall veilig (genoeg) te houden, maar zelfs dan moet je rekening houden met hackers.

[Saekerhett]

Wat een onzin. Mag ik lekker zelf weten hoe ik mijn NAS configureer, welke data erop staat, welke servers ik erop draai en of ik die wel of niet aan internet hang?

Een goed backupsysteem in geval van dit soort hacks lijkt me veel nuttiger.

[Zyppora]

Geen onzin. Natuurlijk mag je doen en laten met je NAS wat je wilt, dat ding is ten slotte van jou. Het wordt door de fabrikant alleen veel te makkelijk gemaakt om met een druk op de knop je NAS open en bloot aan het internet te hangen, en niet-technische mensen begrijpen de risico's daarvan niet. Gevolg is nieuwsartikelen zoals hierboven.

Ik heb een stokoude NAS die al jaren geen firmware update meer heeft gezien; de laatste firmware die uberhaupt op de website van de fabrikant beschikbaar is, is ruim 10 jaar oud. Ding draait zonder problemen en omdat ik geen speciale apps of routerinstellingen etc. heb gebruikt voor dat ding, is hij ook nog nooit een aanvalsvector geweest. Wil ik hem van buitenaf toch benaderen om wat voor reden dan ook? Dan log ik in via VPN op mijn netwerk en bereik ik hem zo.

[Benedykt]

Misschien moet je @Zyppora z'n reactie nog een keertje lezen, want hij zegt juist dat de NAS alleen extern te bereiken is via een VPN

[Domino]

Die stokoude nas mag best internet toegang hebben, in de regel vaak via nat. Als ie andersom maar niet direct adresserbaar is vanaf het boze internet.

Bovendien kan je allerlei maatregelen treffen waardoor de internet toegang beperkt wordt, de meest eenvoudige is domweg geen gateway opgeven of het interne ip blokkeren in je firewall.

[Caelestis]

Het is in ieder geval duidelijk wie er allemaal gehackt worden en waarom.
Als jullie allemaal denken dat enkel wat NAT en een VPN voldoende zijn als bescherming dan zijn precies jullie de doelwitten.

[Benedykt]

Als jij denkt dat je zomaar even door een NAT tabel heen kunt rennen heb je iets te veel NCIS "hacking" scenes gekeken

Een NAS die aan een internetverbinding hangt die met een NAT router van de buitenwereld is afgeschermd, is in 99% van de gevallen meer dan genoeg om te voorkomen dat er zomaar van buitenaf misbruik van gemaakt wordt. Als het een gerichte aanval is, dan zou er inderdaad mogelijk van die NAS misbruik gemaakt kunnen worden, maar zelfs dan zal de NAS zelf niet de ingang tot het netwerk zijn, zonder intern gecompromitteerd te worden.

Zodra je de NAS benaderbaar maakt vanaf internet, dan is het inderdaad een totaal ander verhaal en heb je adequate beveiliging cq. up-to-date firmware nodig. Maar zoals je in de reactie van @Domino kunt lezen heeft hij daar keurig een inbound VPN voor ingericht.

[Caelestis]

Ik zeg nergens dat je door een NAT tabel kunt rennen ala NCIS hacking. Ik zeg dat het niet de zwakke schakel is.
Je mag er vanuit gaan dat er meerdere apparaten op het netwerk aanwezig zijn dan enkel de NAS. Dus wat doe je tegen verkeer wat jij vrijwillig door je eigen NAT laat komen en ondertussen een of ander 10 jaar oude vulnerability misbruikt?
NAT is geen "beveiliging" tegen je eigen surf gedrag.

[Benedykt]

Dude hou nou alsjeblieft op jezelf steeds verder in te graven. Een inbound VPN is de gouden standaard om veilig vanaf het grote boze internet naar de veilige kant van je netwerk te komen. Het lijkt er sterk op dat jij de term VPN alleen van de YouTube sponsors kent. Maar dat is toch echt wat anders. Lees jezelf anders eens in over basale beveiligingstechnieken

[Caelestis]

Grappig als je de Youtube sponsors moet geloven dan claim je juist dat de VPN het gouden standaard is van anoniem beveiliging zoals jij dat nu doet.
Elke persoon met ook maar een beetje netwerk achtergrond weet voor een feit dat je beveiliging net zo sterk is als je zwakste schakel.
Wat jij de gouden standaard noemt is niks anders als het absolute minimum beveiliging niveau voor een up-to-date NAS en is absoluut niet geschikt voor EoL apparatuur.

[Benedykt]

Allemachtig man, doe je het er nou gewoon om? Heb je *enig* idee wat een inbound VPN inhoudt? Alhoewel, ik denk dat je die vraag al aardig beantwoordt hebt in andere comments.

Ga alsjeblieft nog even verder met je opleiding, want het is wel erg klok/klepel zo.

Edit: Je username kwam me al zo bekend voor, je hebt jezelf wel vaker voor lul gezet met discussies over VPN. Nog steeds niet even de moeite genomen om uit te zoeken wat een VPN tunnel precies doet?

[Reactie gewijzigd door Benedykt op 22 juli 2024 22:13]

[Caelestis]

Is dat alles? Je gaat keihard in de defensief omdat je niet meer weet waar je het over hebt?

[Benedykt]

Je bent een erg overtuigende troll, dat moet ik je nageven. Well played!

[Caelestis]

Als jij het wil wegstrepen als "troll" omdat je niet kan hebben dat je kennis niveau van netwerk beveiliging in gebreke is kan je beter eerst wat meer gaan leren i.p.v dit soort onzin uitspuwen.

[Benedykt]

Je bent alláng door de mand gevallen, dude. Je hoeft niet meer zo hard te proberen

Nog even een tip: het is niet echt realistisch dat je na 3 jaar nog steeds geen flauw idee zou hebben van hoe een inbound VPN tunnel zou werken; misschien moet je toch een beetje doen alsof je af en toe wat kennis op doet

[Caelestis]

Geen idee of ik 3 jaar geleden ook een dergelijk argument heb gemaakt. Maar het feit dat jij zo ver terug zou willen gaan zegt al genoeg. Het lijkt erop dat jij wel heel hard bezig ben met iets maar is wat niet helemaal duidelijk. Heb je wat te verbergen of zo?

[Benedykt]

Wordt toch al minder sterk, die overtuigende troll rol van je. Misschien moet je het inderdaad toch maar houden bij de beginnende MBO student; die rol lijkt je wat natuurlijker af te gaan.

Beetje zoals je in juli 2019 deed, toen je ook al geen idee had wat een inbound VPN tunnel inhield: Caelestis in 'nieuws: Nederlandse start-up begint verkoop 'thermostaat voor i...

[Reactie gewijzigd door Benedykt op 22 juli 2024 22:13]

[Caelestis]

LMAO Dat je daar tijd aan besteed heb. Het zit je wel diep he. Je was niet eens onderdeel van het argument en je snap nog steeds niet waar het allemaal om ging.

[Benedykt]

Het gaat er om dat jij heel hard doet alsof je niet weet wat een VPN tunnel is of hoe netwerken überhaupt werken. Tenminste, dat hoop ik voor je.

Want als je dit niet faket, dan snap ik wel waarom de Gasunie destijds van de uitbestede infra met servicedesk afgestapt is. Als dit het gemiddelde niveau moet voorstellen..

[nowaychose]

Je kan toch gewoon je netwerk zo inrichten dat de NAS alleen beschikbaar is vanaf interne ip's?

[nowaychose]

Ik host m'n eigen vpn binnen mijn netwerk. Dan hebben mijn devices over de vpn echt wel een intern ip hoor.

[Caelestis]

Je heb het over "interne ip's" wat in werkelijkheid een niet bestaand concept betreft. Dat noem je alleen maar omdat je de "Allow only traffic from internal IP's" functie heb gezien ergens op je NAS of router. Dat houdt in dat je gelimiteerd bent tot de filter lijst van je 10+ jaar oude NAS en daar zit gewoon nooit je VPN bij.

Daarom zoals ik al zei kan je het wel gewoon whitelisten als je wil maar het is geen "interne IP" zoals de filterlijst aangeeft.

[nowaychose]

Maat, de interne ip's zijn gewoon alle ip's die mijn dhcp server uitgeeft. Mijn NAS heeft helemaal geen controle over wat er mat wat mag verbinden daar gaat mijn router over. Apparaten die ik via mijn vpn laat verbinden krijgen een eigen ip adress op het interne netwerk. Geen enkel verkeer van het internet heeft toegang tot mijn NAS tenzij het via mijn eigen gehoste vpn binnenkomt. Wat betreft mijn interne netwerk hebben apparaten die via de vpn verbinden dus een ip adress dat is uitgegeven door mijn dhcp server.

[PageFault]

Moet je wel een systeem hebben die geen backup maakt van je gegevens nadat de ransomware z'n werk gedaan heeft.

[.MaT]

Dat is geen probleem aangezien je met echte backups (dus geen simpele synchronisatie of copy/paste over de vorige backup) gewoon terug kunt gaan in de tijd naar een eerdere versie.

[FreshMaker]

Dat is geen probleem aangezien je met echte backups (dus geen simpele synchronisatie of copy/paste over de vorige backup) gewoon terug kunt gaan in de tijd naar een eerdere versie.

en wanneer is de aanval begonnen ?
12u geleden, 2 dagen, 2 weken ?

Ik heb gevallen meegemaakt waar de tools 6 maanden eerder al opgezet waren, en op een tijdslot / actieve domeinregistratie in werking traden.

Van veel mensen met een NAS ( of uberhaupt ) mag je al blij zijn als ze een enkele keer iets opzij zetten.
Die NAS IS de opslag ....dat is voor hun de backup.

[PageFault]

Maar dat is zelden het geval, aangezien opslag niet oneindig is. Dat is de crux vaak. Je wil eigenlijk van belangrijke zaken inderdaad een soort write-once backup,

[Luchtbakker]

Een nas hoort niet direct aan internet!

Het is maar net waar jij je nas voor gebruikt.

Ik draai er bijvoorbeeld ook Surveillance Station op mijn nas zodat ik mijn camera's op remote kan bekijken, en dat wil ik ook zo houden. En ook mijn VPN loopt via de NAS.

Een NAS is tegenwoordig meer dan een back-up station.

[Reactie gewijzigd door Luchtbakker op 22 juli 2024 22:13]

[themadone]

Ik ga er dan vanuit dat je admin interface niet beschikbaar is van buiten af?

Camera's kun je ook een snapshot/filmpje laten sturen naar een andere locatie en het daar openen.

Ik zeg niet dat je via VPN of een secundaire techniek geen verbinding zou mogen maken met je Nas. Echter direct en open aan het internet is gewoon niet aan te raden.

Gezien alle reacties hier denken sommige dat dit geen issue is. Echter hebben verschillende ransomware uitbraken op dit soort systemen laten zien dat het niet altijd even veilig is.

Vooral bij de minder technische gebruikers die dit doen zijn zaken als additionele backups niet ingericht, hier is de nas toch voor, dit kan leiden tot tranen als het fout gaat omdat alle digitale fotoalbums ineens weg zijn.

Tweakers die bewust het risico nemen, may the odds be forever in your favor.

Voor de andere niet Tweakers, doe het vooral niet.

[Qwerty-273]

Het probleem met deze apparaten is wel dat er meer en meer functies bijgekomen zijn. Het is niet langer een pure data opslag, je draait er tegenwoordig tal van extra apps op. Waarbij soms het de bedoeling is dat deze van buiten bereikbaar zijn.

[borgdrone]

Oke wat is volgens jouw de functie van een NAS?

Maar mijn weten opslag local en toegang tot je bestanden van buitenaf (simpel gezegd).

Buiten dat hangt de NAS natuurlijk indirect aan het internet via router/modem.

[Reactie gewijzigd door borgdrone op 22 juli 2024 22:13]

[themadone]

Sinds wanneer is toegang tot je bestanden van buitenaf de purpose van een stukje netwerkopslag?

Moeten bedrijven de file servers dan ook direct via internet beschikbaar stellen?

[borgdrone]

Voor huis tuin en keuken gebruik bij de meeste mensen wel, voor bedrijven not so much inderdaad.

Dus nee geen must, maar bedrijven hebben vaak onsite een NAS, en de backup via het internet naar afgelegen locatie.
Dus ja vaak gekoppeld aan het internet.

[themadone]

Weet niet over wat voor bedrijven je het hebt, maar ik zou daar niet verantwoordelijk willen zijn voor de it afdeling. Klinkt als hobby niveau en niet meer van deze tijd.

[borgdrone]

Mhmmm ja geef het een andere naam, maar functie blijft hetzelfde en gebeurt nog steeds bij de grootste bedrijven van Nederland of waar dan ook in de wereld.

Weet niet hoe jij het voor je ziet maar goed.

Hoe draai jij backups?

[themadone]

Via veeam naar disk en dan via het ongerouteerde iscsi segment naar tape.

[borgdrone]

iets met niet meer van deze tijd zei je?

maar denk dat sarcastisch was.

[themadone]

Vertel me hoe je tientallen terrabytes veilig houdt tegen ransomware zonder cloud dienst die een godsvermogen kost zonder tape?

[borgdrone]

Niet....... ik gebruik geen clouddienst.
Waarom ga je ervan uit dat iedereen zo'n clouddienst gebruikt.
Nog nooit gebruikt, veel te afhankelijk van hun sign-on server.

backup local naar synology RS1221+ vanuit daar backup naar 2de site via vpn naar een identieke RS1221+.

Tapes beschermen je trouwens niet tegen ransomware, dat doet goeie internet security software.
Tapes hebben wij vroeger gebruikt, maar waren best gevoelig en hebben problemen opgeleverd in het verleden. Maar dan praat ik wel over minimaal 15 jaar geleden.

[amx]

altijd dezelfde reacties.
In het Engels zeggen ze ook wel:

"Bachelors’ wives and maidens’ children are well taught.”"

[Freekers]

Een NAS die geleverd wordt met Mail Server en Webserver functionaliteit hoort niet direct aan het internet? Is die mail en webserver dan enkel bedoeld voor intranet?

[Anonymoussaurus]

Emsisoft heeft een decryptor beschikbaar gesteld:

• https://www.emsisoft.com/...decryption-tools/deadbolt
• https://www.emsisoft.com/...sisoft_howto_deadbolt.pdf
• https://www.techtarget.co...ansomware-decryption-tool

Je hebt hier wel een key voor nodig:

This decryptor requires the 32-character key that is provided from the criminals after paying the ransom.
This key is returned as part of the BTC transaction in the OP_RETURN code.

[Reactie gewijzigd door Anonymoussaurus op 22 juli 2024 22:13]

[Bliksem B]

Van de gebruiker op Reddit over Cloudbackup

Shitty thing is that I had cloud sync center sync my files to OneDrive and Google Drive, so it pushed the .deadbolt files there as well. OneDrive was able to restore all files, however Google Drive seems to have a limited recycle bin history and the files are essentially lost.

Goed om te weten dat mijn documenten syncen met Onedrive een goede backup kan zijn, omdat deze een grote prullenbak heeft. Alleen dan heb ik alsnog al mijn data op een Amerikaanse server server staan, wat ik eigenlijk wil voorkomen.

Ik gebruik(te) ook mijn QNAP NAS als clouddienst. Mijn strategie was altijd om documenten te synchroniseren met 3 appraten (laptop, NAS en desktop). Alleen dan moet je wel altijd hopen dat je op tijd er achter komt dat er iets mis is met je NAS, voordat je je laptop aan doet.

[Reactie gewijzigd door Bliksem B op 22 juli 2024 22:13]

[.MaT]

Synchroniseren is geen backup (je hebt 1 versie van de laatste synchronisatie en dat hoogstens tot de volgende synchronisatie) en rekenen op een recylce bin van een cloudopslagdienst als backup zou ik ook geen aan te raden backupstrategie noemen.

[Bliksem B]

Klopt. Ik heb dit nog niet verder onderzocht, maar je zou een interval kunnen instellen. Het liefst zou je dan de backup naar een NAS op een andere locatie willen sturen i.p.v. van een clouddienst voor het geval er brand uitbreekt.

[MazDaMan1970]

Met een reverse Proxy & whitelisting kun je prima je je NAS dichttimeren & voor jezelf toch toegankelijk houden, via internet. Sowieso moet je je NAS gebruiken waarvoor die bedoeld is; dataopslag. Je kunt er wel allerhand meuk erop zetten, zoals beveiligingscamera's ed. maar hou die services gewoon intern, aangezien vaak dat soort applicaties voor lekken zorgen.

[runnershigh]

Gebruikers wordt in ieder geval aangeraden om EZ Connect, auto-updates en ssh uit te schakelen.

Ik gebruik op mijn Synology NAS "QuickConnect". Dat klinkt als een vergelijkbare methode als EZ Connect.

Ik dacht dat dat veel veiliger was dan "normaal" via internet toegankelijk. Klopt dat niet? Is het veiliger om een VPN te gebruiken?

[CaDje]

Deze oplossingen als QuickConnect en EZ connect zijn er voornamelijk om via het internet toegang te krijgen tot je NAS zonder dat je instellingen in de router / firewall hoeft te veranderen. Makkelijk voor de gebruiker dus, alleen ben je wel afhankelijk van de beveiliging en beschikbaarheid van deze diensten, het draait namelijk allemaal via de cloud.

Het is idd veiliger om een VPN te gebruiken, heb beste kun je de VPN server op een apart apparaat draaien zoals een RPi met PiVPN, erg makkelijk op te zetten en te configureren. Zolang je internet hebt (en stroom) kun je altijd verbinden met je intranet via een goed beveiligde VPN verbinding zoals OpenVPN of Wireguard. Je moet alleen wel 1 netwerkpoort in je router openen naar je RPi.

[binbash.]

Dat klopt. Die QuickConnect, EZ connect achtige functies. In mijn opinie zijn dat altijd "Exploits waiting to happen". Je kunt dit veel beter doen door een VPN server op te zetten al dan niet op je NAS en daar met een client naartoe te verbinden als je niet thuis bent. Liefst over een niet standaard poort. En wat geselecteerde externe IP's/subnets Dan heb je zelf veel meer controle. Die Easyconnect achtige dingen maken allemaal reverse tunnels, rare dingen om je firewall heen om het allemaal makkelijker te maken voor de gebruiker via services die een leverancier maakt. Dat wordt op de lange duur allemaal niks is mijn ervaring.

[AlbertG80]

Heb zo'n nas staan hier maar ez connect staat sinds het begin uit. Verder onnodige porten niet open en via domein inloggen. Domein is proxy dus dat zal ook helpen.
Verder al die gebruiksvriendelijke toegangen zijn vaak ook traag omdat de lijn vaak via een derde partij gaan.

[CaDje]

Het is wel altijd af te raden om een NAS interface direct naar het internet te openen, ook al gebruik je een proxy as Swag oid, tenzij echt bekend is dat de interface geschikt is voor internet gebruik (hardening). Ik heb zelf ook meerdere docker containers draaien die toegankelijk zijn via het internet door een proxy, maar de NAS interface zelf (Unraid in mijn geval) kan ik alleen via een VPN bereiken.

[Sando]

Docker zelf draait vaak met root-rechten, en het is aan de container om als een andere gebruiker te draaien. Ik zou wel eens een gedegen artikel willen lezen over wat je zelf allemaal realistisch gezien kunt doen om de attack-surface van een NAS of server met docker-services te minimaliseren.

[Neus]

Simpelweg het admin account uitschakelen heeft dus geen zin?

[runnershigh]

Simpelweg het admin account uitschakelen heeft dus geen zin?

Dat heeft wel degelijk zin, maar is niet afdoende.

[mroffbeat]

Ik las boven als aangeboden oplossing: ban alle landen behalve nederland
Hackers gebruiken immers geen buitenlandse proxy's om ergens binnen te komen?

[Freekers]

Een goede beveiliging bestaat uit meerdere lagen. Zoals een kasteelmuur met een burcht en een ophaalbrug. Hetzelfde geldt voor digitale beveiliging. Je limiteert je set aan IP adressen (als je geen VPN wilt gebruiken), gebruikt two factor en zet alleen services naar buiten open die daadwerkelijk publiek mogen zijn (denk aan mailserver of webserver).