Mój pierwszy NAS konfiguracja/bezpieczeństwo

Witajcie.

Od dwóch dni jestem szczęśliwym posiadaczem mojego pierwszego NAS Synology ds218play.
Nigdy nie miałem do czynienia ani z serwerami ani za bardzo z linuxem, którym obsługuje się NAS.
O ile wolę uczyć się sam eksperymentując, to są dwie ważne kwestie w których potrzebuję pomocy od razu.

  1. Nie chcę korzystać z RAID. Potrzebuję dwóch oddzielnych dysków (jak w zwykłej obudowie do dysku na USB) Duży dysk na trzymanie multimediów i mniejszy na OS oraz oraz folder download station.
    NAS jednak domyślnie ustawia SHR i jedną pojemność równą mniejszemu dyskowi. Przy instalacji nie mam możliwości wyboru. Po reinstalacji OS przy włożonym tylko dużym (nowym) dysku poszło normalnie, a po włożeniu małego (bardzo stary) okazało się, że jest zdegradowany czy jakoś tak. Nowy dysk (mniejszy) jest w drodze. Jak przeinstaluję OS z włożonym małym a potem dołożę duży to wszystko będzie grało, czy zredukuje mi pojemność dużego 10TB do małego 4TB? Jeśli tak to jak temu zapobiec, albo jak to później zmienić? Na windowsie nie miałbym z tym problemów, ale tu…

  2. Bardzo martwię się ransomware, z tego co wyczytałem to są 3 różne pakiety antywirusowe, ale żaden nie chroni w czasie rzeczywistym przed szyfrowaniem plików, a żaden windowsowy program chyba nie oferuje ochrony NAS. Pal licho mniejszy dysk z downloadami i OS, da się odbudować łatwo, ale chciałbym zabezpieczyć duży Store. Chciałbym z niego udostępniać multimedia sobie w różnych miejscach, może paru znajomym oraz odpalać filmy bezpośrednio na telewizorze. Rzecz w tym, że poza tymi sytuacjami (w razie braku odpowiedniej ochrony) chciałbym, aby ten dysk był odłączony od dostępu do internetu (serwer będzie raczej chodził 24/7) co by jakiegoś gówna nie złapał, ale jednocześnie mieć możliwość zdalnego podpięcia go.

Z góry dziękuję za pomoc.

Przed ransomware jest tylko jedna właściwa ochrona dysk na stałe odłączony… i podłączony na czas wykonywania kopi i tylko wykonywania kopi lub opcjonalnie w 2 strone :stuck_out_tongue:

No to takie coś chcę właśnie robić, tyle, że zdalnie :slight_smile:
No to może nie uchronić się, ale zminimalizować ryzyko?
Jakieś antyviry w tym pomogą? Bitdefender na przykład?

Może jakiś myk z dwoma routerami? VPN? Cokolwiek? :sob:

Może można :slight_smile: jakoś zdalnie odmontować dysk?

Antywirusy zwykle dają du** i nie wyrabiają sie na czas… antywirus służy do wykrywania i usuwania już wcześniej wykrytego wirusa i oznaczonego… nie mniej jednak przy coraz więcej osób tworzy złośliwe, nowe i nieznane wirusy przy których żaden av nie da rady tak zwane malware 0-day

Jak walczyć czy też jak sie chronić…

Włącz kur** myślenie nie klikaj beztrosko we wszystko jak leci zastanów sie zanim coś napiszesz, coś gdzieś wyślesz, w jakiś link/odsyłasz klikniesz…
Twoje dane wysłane raz w sieć mogą już być nie do wycofania i pójdą w świat.

Po 2 ogarnij takie programowanie jak …
1)Zapora
Porządna zapora monitoruje ruch wychodzący i przychodzący dzięki temu ten dany program pozwoli ci kontrolować ruch sieci ale czy prawidłowo zablokujesz i ustawisz połączenie to nadal pozostaje pod jurysdykcja użytownika.

2)HIPS
Podobnie jak zapora tylko że tu już monitoruje sie nie tyle co sieć, a ruch procesów i funkcji systemowych, dzięki rozumnemu użytkownikowi w odpowiednich rękach dzięki tej aplikacji / modułowi uda ci sie zablokować powstrzymać wirusa tuż przy pierwszej interakcji i udaremnić infekcje

3)SRP - czyli skrót od Software Restriction Policies.
Pewnie aplikacje mają za dużo dostępu do wrażliwych danych i innych miejsc gdzie nie powinny mieć… dzięk nałożeniu ograniczeń można powstrzymać infekcje lub też ograniczyć szkody wyrządzone,
M.in dlatego zaleca sie z korzystania ze zwykłego konta a nie admina jak to niestety większość osób robi. Są też programy któę potrafią nałożyć limit zapisu i dostępu na foldery dla wybranego procesu.

4)Izolacja/Wirtualizacja - podobnie jak SRP. Można w pewien sposób odizolować daną aplikacje/prcoess od systemu dzięki czemu unikniemy lub zmniejszymy ryzyko infekcji tworząc sztuczne odizolowane środowisko pracy od systemu.

Możemy podzielić na 2 częsci Piaskownie oraz pełne wirtualizacje systemu
a)Piaskownice izolują ale jednak w większej części nadal korzystają z głównych zasobów systemu przez co są mniej skuteczne od pełnej writuali9zacji ale z 2 strony nie zabierają tyle mocy obliczeniowej.

b)Pełna wirtualizacja systemu tworzy całkiem osobny system z osobnymi zasobami dzięki czemu jest o wiele skuteczniejsza w porównaniu od piaskownicy ale też nie ma co popadać w samo zachwyt i nie ma co bagatelizować sprawy ryzyko infekcji nadal istnieje choć jest nie porównywalnie bezpieczniejsze niż korzystanie z głównego systemu z samym antywirusem jak to większość osób robi.

5)Kolejną sprawą bezpieczeństwa jest tworzenie kopi zapasowych niby każdy to wie a mało kto robi a potem zgrzyt płac i zmarnowany czas jeśli dane przepadną lub zostaną uszkodzone…

a)Najlepszą formą jest posiadanie drugiego fizycznego nośnika na który zgrywamy i pozostaje on 24/7 odłączony od maszyny codziennego użytku i podłączony tylko i wyłączonie na czas tworzenia kopi lub jej przywracania w razie “W”

b)2 formą jest trzymanie danych w chmurze dzięki czemu dane są w chmurze oraz na komputerze.
Niestety cześć, no… nie tyle część a raczej większość chmur czy też NAS jest słabo zabezpieczona i wraz z atakiem ransomware na komputerze również ulega infekcji.

Najlepszą metodą jest stosowanie obu rodzai kopi naraz

6)Jeśli mamy jakieś ważne dane możemy je jeszcze zaszyfrować
NP trzymać bezpiecznie hasła w programie takim jak KeePass czy też szyforwać dysk lub partycje programem VeraCrypt aby np w wyniku zgubionego laptopa niepowołana osoba nie dostała dostępu do wrażliwych danych.

7)Inne metody bezpieczeństwa
NP szyfrowanie i ukrywanie adresu IP za pomocą usług takich jak VPN czy TOR
Szyfrowanie klawiszy za pomocą narzędzi takich jak SpyShelter dzieki czemu możemy ztrolować keylogery :slight_smile:

Blokowane reklam za pomocą aplikacji Adguard/ublock… cześć reklam może zawierać odnośnik do złośliwej strony tak zwane ad-aware

8)Antywirus choć wcześniej zbojkotowałem że av nie jest dostatecznie dobrym rozwiązaniem to jednak warto mieć i od czasu do czasu przeskanować czy jakieś znany wirus nie przeszedł przez powyższe zabezpieczenia(Warstwy ochrony) i nie siedzi w naszym systemie.

Antywirus nie powinien być jedynym programem a tym bardziej głównym do ochrony systemu.
Przed infekcją powinno sie przedstawiwszy zapobiegać a nie leczyć choć to 2 jest jest istotne to czasem na leczenie może być za późno…

Przede wszystkim ty jesteś odpowiedzialny za twój komputer i skutki z nim związane za nie właściwe korzystanie czy nostalgiczne bezmyślne klikanie gdzie popadnie.
Aplikacje ochronne czy też Warstwy Ochrony mają ci tylko ułatwić dać możliwość lepszej ochrony nadzoru nad danym systemem / komputer.

Ale jak będziesz debilem to ci nawet wszystkie programy naraz nie pomogą…

ad1.
Mniej więcej na tym filmiku masz pokazane jak ustawić jbod w synology (ja bym stworzył dwa wolumeny po jednym na dysk).

Nad 2-ką muszę się zastanowić.
—edit----
2-ka.
Zasadniczo w środowisku domowym problem z ransomware jest taki, ze może zaszyfrować podpięte udziały dyskowe. Technologia nie ma tu za bardzo znaczenia. Ważne, by udział był podpięty. Do tego część potrafi sprawdzić poświadczenia zainstalowane w systemie i podpiąć się na urządzenia w sieci. Czy da się z tym walczyć? Nie bardzo. Podobno niektóre UTMy sobie tu radzą, ale to baaaaardzo droga sprawa (nie dla użytkownika domowego).

Skoro nic się nie da zrobić, to jakie jest właściwe postępowanie?

  • minimalizacja strat: kopie zapasowe
  • minimalizacja dostępu: można korzystać z interfejsu www do zapisywania plików na nasie. A w każdym razie ograniczać udziały SMB podpięte do zapisu.

Co do połączenia z internetem, to albo jest albo go nie ma dla całego urządzenia. Nie można regulować by było dla jednego dysku, a drugiego nie. Dostęp do dysków reguluje się poprzez uprawnienia użytkowników. Udostępnianie czegoś do internetu zawsze wiąże się z jakimś tam dodatkowym ryzykiem.

Dziekuję za wyczerpującą wypowiedź. Nawet za żołnierskie słowa, bo wiem o jakich debilach mówisz hehe. Od prawie 20 lat składam komputery sobie, rodzinie i znajomym, słysząc komentarze, że 2 miesiące temu złożyłem kompa i już zamula i co ja zrobiłem w ogóle, więc jeszcze częściej naprawiam (czyt. odinstalowywuję niepotrzebne gówna, w tym przyspieszacze systemów :slight_smile: toolbary, usuwam PUPy, oraz redukuję liczbę antywirusów do jednego, rekord to 4-słownie cztery :slight_smile: Tak więc myślenie mam włączone i wiem w co klikać, a w co nie. Nigdy nie miałem problemów z cyber zagrożeniami bo używałem tylko peceta. Do tematu sieci i serwera wszedłem raptem przed chwilą i to obcy dla mnie temat do tego stopnia, że obce mi są nawet podstawowe rzeczy typ SMB jak napisał vries, a nawet skrótu nie potrafie rozwinąć :slight_smile: mam dużo do nauki i z własnym serwerem szybciej mi pójdzie, ale przed eksperymentowaniem chciałem się zabezpieczyć najpierw.
Co do nośnika na backup… NAS+10TB kosztował mnie 2,5k, dysk do backupu to kolejne 1,5k. Na razie nie mam. Niby mam 10TB w kompie i stacje dokującą, ale żeby go odżałować musiałbym niemałe porządki na dyskach przeprowadzić. I tu pytanie od razu-rozumiem, że przed backupem poprzez USB NAS>HDD muszę NAS od neta odpiąć i jak przed tym mam NAS przeskanować, żeby mi gówno na backup nie przeszlo. Czy są jakieś sposoby przeskanowania NASa czymś normalnym, w sensie ESET, Bitdefender, malware fighter?
Jakiego firewalla polecicie?
HIPS, jak również SRP wydają się na razie przekraczać moje umiejętności, ale poczytam oczywiście.
Działanie wirtualnej maszyny oraz VPN znam jedynie teoretycznie, z tym, że jeśli trzeba wirtuala na serwerze odpalić to za słaby jest na to.

Tak właśnie chcę zrobić (2 wolumeny) Ale opcję utwórz mam nieaktywną, może dlatego, że jeden dysk mam wsadzony a jak miałem dwa to jeden był zdegradowany, muszę poczekać na nowy, aż przyjdzie.
Nie wiem jeszcze co to udziały dyskowe (nowa terminologia dla mnie) ale zakładam, że folder na NAS do użytku na kompie, albo folder na kompie do użytku na NAS.

Czy dużo pomoże jesłi dostęp przez www będzie tylko do odczytu? albo zamiast dawać dostęp wygeneruję link do pobrania jak w Gdrive?

a tak w ogóle to lepszy anty malware od IObit Malware fighter czy antimalware od malwarebites?

IObit to taka klasa jak avg czy mcafee nie warto nawet wymawiać tej nazwy…

Jak chcesz pakiet IS to Kaspersky lub ESET
Jak chcesz składaka który jest moim zdanie lepszym i relatywnie mocniejszym zabezpieczeniem kompa to polecam tak

SpyShelterFW = Zapora + HIPS + funkcja SRP (ograniczenie zapisu i dostępu) + Szyfrowanie klawiszy
Sandboxie = Piaskownica oraz dodatkowo można w zaawansowanych opcjach nałożyć lepsze i bardziej restrykcje.
ShadowDefender = Wirtualizacja macierzystego systemu.oraz dysków i wybranych partycji.

SpyShelter zabiera okolo 30MB ram SD z 5-11 ram sandboxie podobnie z 5-11
Dzięki takiemu zestawieniu możemy mieć bardzo lekki i zdecydowanie bezpieczniejszy system niż katowanie skanerami które i tak zawsze coś przepuszcza…

Jeśli będziesz miał wątpliwości do do alertu HIPS’a czy zezwolisz to możesz użyć wbudowanego odsyłacza który wysili plik do serwisu jotti(alternatywa dla virustotal) i zeskanuje go kilkunastoma antywirusami w chmurze.

Dodatkowo możesz bezpiecznie trzymać hasła w jakimś menadżerze haseł ja sam korzystam i polecam KeePass

Bezpieczeństwo logowania do stron jeśli dają taką możliwość można a nawet w dzisiejszych czasach wypada korzystać z uwierzytelniania 2 etapowego z generatorem kodów jednorazowych czyll “2fa” za pomocą aplikacji Authy według mnie lepsza od google bo można tworzyć kopie kluczy i synchronizować pomiędzy wieloma urządzeniami czy też zdalnie wywalić 1 urządzenie w razie kradzieży…

Opcjonalnie można zainstalować pełną wirtualizacje systemu jak chodzisz po xxx stronach czy też czasem coś “nieoficjalnie pobierzesz jakiegoś pirata” czy też do pracy biurowej jak musisz otwierać nieznanego pochodzenia dokumenty to uruchomienie takiego np LibreOffica w tle na wirtualnym linuxie jest rozsądnym wyjściem kiedy w tle musisz jeszcze korzystać z windowa i innych jego aplikacji.

Shadow Defender: Program zamraża dane i każde nowe zmiany w systemie czy na innej partycji nie zostaną na stałe zapisane i po resecie komputera wrócą do pierwotnego stanu… coś jak byś za każdym uruchomieniem kompa wczytywał daną kopie zapasową.
Oczywiście można podczas pracy na systemie wykluczać pliki na stałe z pod-ochrony lub też 1 razowo zezwolić na ich stale zapisanie.

Jak chodzi o antywirusy to przy umiejętny korzystaniu z Shadow Defederze raczej nie będzie aż takiej potrzeby ale jak czasem chcesz jednak dmuchać na zimne to można pójść z duchem czasu i zamiast ograniczać sie do 1 skanera antywirusowego można skorzystać z multi skanera który korzysta z wielu silników antywirusowych dzięki czemu jest większa szansa na rozpoznanie szkodnika niż w sytuacji korzystanie tylko 1 firmy/bazy danych ofc jest też efekt zwrotny jojo może też być większa liczba fałszywych alarmów. Ja osobiście korzystam z takiego rozwiązania od chyba już 2 niecałych lat.
I jest to oprogramowanie SecureAPlus.

SAP: Baza skanująca z ESET/ AVIRA / F-Prot / F-Secure / Microsoft Security Essentials oraz własny innowacyjny APEX który na paru paczkach wirusowych wykrył wirusy których nie widział kaspersky czy Avira
oraz 2 cześć skanerów która mnie osobiście nie napawa optymizmem i jakością czyli AVG / McAfee / ClamAV to mimo wszytko z nich też korzysta i pewnego dnia może wykryje coś co inni liderzy przeoczyli… w razie czego można ręcznie w opcjach wyłączyć z którego silnika ma nie korzystać.

W Wersji premium SAP można jeszcze dokupić silnik Aviry w razie braku neta można lokalnie przeskanować komputer. oraz parę innych bajerów.

Wracając do dodatkowe skanera mając multi skaner raczej nie pa potrzeby aby korzystać z nich jednak jeśli sie uprzesz do Najlepszy będzie Hitman Pro po nim Zemana a następnie Malwarebytes.

Iobit omijaj to totalna kicha… ale skoro znajomym czyścisz badziewia z kompów to kwestie powinieneś już wiedzieć.

No i przede wszystkim kopia zapasowa mega fest ważne pliki szczególnie te firmowe trzymać co najmniej w 3 miejscach bo musisz wziąć pod uwagę że jak coś ci sie zapasuje na dysku, a nie weryfikowałeś poprawności czy zapisu danych na 2 nośniku lub nośnik uległ wcześniej awari ale zniego nie korzystałeś i nie wiedziałeś to możesz mieć problem bo nie przywrócisz zepsutych danych z obecnego kompa a 2 kopia uległa też uszkodzeniu w innym wcześniejszym czasie z innej przyczyny…

Ogólnie polecam przeczytanie solucji 3-2-2 kopi zapasowej na internecie.

W sumie douczyłem się trochę, bo nie siedzę ostatnio w rozwiązaniach antywirusowych.
Z tego co widzę to większość rozwiązań w tym darmowy Defender pozwala na ochronę plików przed zapisem przez programy spoza białej listy w określonych lokalizacjach. Nie wiem na ile jest to skuteczne ale wygląda nie najgorzej.

Opcję utwórz masz nieaktywną, bo masz utworzony wolumin prawdopodobnie w formacie SHR.
Nigdy się nie bawiłem na tym poziomie, ale pewnie ten wolumin musisz usunąć i stworzyć JBOD.

Od czasów celerona 433Mhz mam ESETa i dobrze mi z nim, chciałbym go tylko czymś uzupełnić. Spróbowałem dzisiaj spysheltera, który niczym dawny seagate firewall komunikuje wszystko, za cienki chyba jeszcze jestem do rozpoznawania tych wszystkich aplikacji i procesów, zablokowałem svchosta, bo niby microsoft ale pisało, że z innego kompa połączenie, okazało się że NAsa se zablokowałem. Więc na razie mam comodo i zobaczymy jak będzie. Każdy Twój akapit czy skrót to tony czytania dla mnie heh.
Co do iobita to faktycznie, choć ostatnio fightera testowałem to malware bytes chyba lepiej łapał. Dużo czytania, mało czasu…

Masz rację z tym shr. Ale to było jak od razu dwa dyski wsadziłem z czego jeden uwalony był. Narazie mam jeden ze świeżym systemem, a jutro powinien drugi przyjść i wtedy się od nowa pobawię

Może powiem inaczej, ze dwa miechy temu wykupiłem dwie 3 letnie licencje na eseta na desktopa i na lapka, więc prędko ich raczej nie zmienie, dlatego szukam uzupełnienia, ale najbardziej czegoś co mi w jakimś stopniu w NASie pomoże też. Ransomy i inne potworki mogą mi na nasa wejść bezpośrednio z sieci czy przez kompa raczej?

Panowie jeszcze jeden temacik na szybko, żeby nowego wątku nie zakładać. Tp-link vs MT


czy

Na pierwszy rzut oka wydają się takie same (oprócz cpu i RAMu w MT), czy warto dopłacić do MT za samą firmę? Czy tam jest coś czego nie widzę?

Gdzieś wyczytałem, że inaczej (trudniej?) się konfiguruje mikrotiki i że łatwo można jakąś dziurę zostawić


Udało mi się stworzyć oddzielne wolumeny, ale nie mogę uzyskać dostepu do drugiego, w sensie nie mogę go przeglądać ani nawet nie widzę go w odpowiedniku Mój komputer. Wszystkie foldery home itd. znajdują się na mniejszym wolumenie.

Wejdź w panel sterowania i utwórz folder współdzielony dla drugiego wolumenu