Στο έλεος του ransomware Deadbolt βρίσκονται οι συσκευές Asustor NAS

[evkar]

Πάντως η synology με το dsm 7.1 έχει ασχοληθεί σοβαρά με το θέμα ασφάλεια . Προτείνει two step verification σε κάθε περίπτωση , ssh κλειστό , απενεργοποίηση λογαριασμού admin , και πολύ ισχυρό password , σαν minimum όρια προστασίας . Ε τώρα ,αν κατεβάζεις πορνοmoovies από κάθε τυχάρπαστο site κινδυνεύεις ,πως να το κάνουμε .

 

[mike299]

6 ώρες πριν, MDefender είπε

Ακόμα και SMB εταιρίες δεν πρέπει να χρησιμοποιούν NAS servers πια,η ψαλίδα στις τιμές έχει μικρύνει για να ρισκάρεις κάτι σημαντικό.Εφόσον δεν υπάρχει budget πας καρφί στο cloud(Azzure) και άσε τη Microsoft να βγάλει το φίδι από την τρύπα.Αν αναφέρεσαι στο data hoarding που θα κάνω εγώ και εσύ επειδή έχουμε κόλλημα να έχουμε όλες τις ταινίες του πλανήτη,ε κομμάτια να γίνει το breach δεν έγινε και κάτι.Στην τελική φόρτωσε σκληρούς στο PC σου και πλήρωνε την κατανάλωση του ρεύματος που θα το έχεις ανοιχτό συνέχεια.Μεγαλύτερη προστασία θα σου δώσει από το να κουμπώσεις ένα NAS σε ένα router της πλάκας με ένα ανύπαρκτο firewall.

Το azure(όπως και όλοι οι υπόλοιποι cloud providers) δεν σου προσφέρουν καμία ασφάλεια στα δεδομένα σου. Το αναφέρουν και ξεκάθαρα ότι είναι δική σου υποχρέωση να έχεις back up τα δεδομένα σου.

Φυσικά προσφέρουν μεγαλύτερη ασφάλεια από κυβερνοεπιθεσεις.

[Paladin-}LoA{-]

Παντού υπάρχουν τρωτά σημεία. Αν έχεις Azure subscription και χρησιμοποιήσεις Storage services εκεί, μπορείς να κάνεις backup, και να το πας και ένα βήμα παραπάνω με regional backup replication. Από την άλλη, αν κάποιος σου κλέψει owner account, μπορεί να σου κάνει μεγάλη ζημιά, π.χ. να σου σβήσει τα πάντα. Και όσο ισχυρό κωδικό και να έχεις, ή και 2FA, υπάρχουν και άλλοι τρόποι (π.χ. session hijacking etc.). Προσωπικά σε owner account θα έβαζα οπωσδήποτε conditional access και posture checks (π.χ. σύνδεση μόνο συγκεκριμένη/ες IP, ίσως κάποιο πιστοποιητικό με έλεγχο για private key στο tpm, κλπ.).

[marios32]

10 ώρες πριν, Retromaniac είπε

Δεν αξίζει πια το έτοιμο Nas για τους περισσότερους από εμάς. Πάρτε ένα παλιό PC και κάντε το nas. Και μεγαλύτερες ταχύτητες, και μεγαλύτερη ευελιξία και περισσότερη ασφάλεια.

Και backup στο cloud για να είστε 100% καλυμμένοι. Αλλά όχι Google drive φυσικά.

Παλιό PC για NAS = έρωτας από τη ΔΕΗ.

Ψάξτε για boards με https://www.skroutz.gr/s/25858075/Asrock-J4125-ITX-SoC-Motherboard-Mini-ITX-με-Intel-BGA1090-Socket.html, ή 4105,4115 Celeron J cpus.
Καίνε 4-5watt σε Idle, ~12 σε Full load. + 3-4watt ανά δίσκο και ότι άλλο έχει το pc (ραμ, usb devices κτλ) και έχεις ένα low power NAS που κάνει και transcode για όσους το χρειάζονται. Τέτοια cpu έχουν και πολλά Qnap,Synology κτλ.

[dimisd]

Ερώτηση αν και μπορεί  να είναι χαζη. Οι επιθέσεις έχουν να κάνουν με το αν ένα NAS βγαίνει προς τα έξω ή την πέφτουν σε όλα τα NAS ακόμη κι αυτά που παίζουν σε τοπικό επίπεδο; Έχω ένα NAS στο δίκτυο του μαγαζιού αλλά δεν το έχω σετάρει για να έχω πρόσβαση από αλλού. Θα έχω πρόβλημα μελλοντικά σε μια τέτοια επίθεση;

[michael92]

Πάντως τραγικό που τόσος κόσμος δεν κάνει πολλαπλό backup, τουλάχιστον τα πιο σημαντικά-προσωπικά αρχεία, τα οποία πλέον χωράνε και σε ένα USB stick.

[Retromaniac]

22 λεπτά πριν, michael92 είπε

Πάντως τραγικό που τόσος κόσμος δεν κάνει πολλαπλό backup, τουλάχιστον τα πιο σημαντικά-προσωπικά αρχεία, τα οποία πλέον χωράνε και σε ένα USB stick.

Γελάω όταν μου λένε είχα όλες τις φωτογραφίες του παιδιού στο κινητό και το έχασα.

[Bourdoulas]

Πότε ανοιχτή πρόσβαση προς το nas από το internet. Πάντα με vpn και πάντα αποκλεισμός σε όλες τις ip εκτός από ελληνικές για να περιορίσεις ακόμα περισσότερο τον κίνδυνο. 

[jmirko15]

Εγώ πάντως τρέχω 2-3 custom NAS τα τελευταία χρόνια αλλά θα ήθελα κάτι πιο simple/user friendly και σκέφτομαι να στήσω κανένα Synology..

Επεξ/σία 23 Φεβρουαρίου 2022 από jmirko15

[soconium]

Έχω nas της qnap στην οποία έγινε  attack πριν 8-9 μηνες για δεύτερη φορά.

Ο nas μου ειναι συνδεδεμένος 24/7 στο ιντερνετ (κακώς) αλλά δεν επηρρεαστηκα. Συνήθως την πατάνε όσοι αφήνουν τα αρχικα settings του nas. Έχω ακυρώσει τον admin λογαριασμό που είχε φτιαξει η εταιρία, έφτιαξα δικο μου admin με πρόσβαση μονο σε settings και μετα άλλο account για να μπαίνω στο file system με τα αρχεία μου.

Επίσης sync με το pc, ταυτόχρονα sync με cloud ( Filen) και backup σε external drive. Φωτο και ευαίσθητα δεδομένα ανεβαίνουν encrypted στο cloud εκτός κι αν ειναι βιβλια μουσική κτλ.

Οποτε ψιλό τραγικές qnap και Asus αλλά απο την αλλη πρέπει να προσέχουμε και μεις λίγο.

 

Α, και 2FA παντού εννοείται!

 

18 ώρες πριν, Hacker?pcs είπε

Γι' αυτό ποτέ "εύκολα cloud" που παρέχουν διάφορες εταιρίες, είναι μεγάλο attack vector. Πρόσβαση μόνο μέσω τοπικού VPN (κατά προτίμηση wireguard), ιδανικά από κάποιο 3o box, πχ ένα pi.

Γενικά δηλαδή οτιδήποτε "easy connect via cloud", είτε router, είτε κάμερες, είτε οτιδήποτε είναι attack vector, πρόσβαση στο τοπικό δίκτυο μόνο με στημένο VPN για να είναι attack vector μόνο το VPN software που είναι ψιλοαπίθανο να γίνει, ειδικά για κάτι τόσο καλοσχεδιασμένο όπως το Wireguard

Στον qnap δεν μπορω να βάλω wireguard μιας και η αγαπητή εταιρία το έχει διαθέσιμο μονο για x86 nas και όχι για arm.

Και ουτε στο router μου μπορω, ακόμα και με merlin πανω.

Εχεις κατι να προτεινεις για tunneling με χρηση wireguard?

Επεξ/σία 23 Φεβρουαρίου 2022 από soconium

[Hacker?pcs]

1 hour ago, soconium said:

Στον qnap δεν μπορω να βάλω wireguard μιας και η αγαπητή εταιρία το έχει διαθέσιμο μονο για x86 nas και όχι για arm.

Και ουτε στο router μου μπορω, ακόμα και με merlin πανω.

Εχεις κατι να προτεινεις για tunneling με χρηση wireguard?

Δεν είναι το ιδανικότερο για μένα να τρέχει το VPN πάνω στο router ή στο ίδιο το NAS, καλύτερα σε ένα ξεχωριστό box. Μπορείς να βάλεις ένα Rpi να τρέχει μόνο Wireguard ή/και SSH για να έχεις πρόσβαση στο εσωτερικό δίκτυο

[Tony_Ts]

23 ώρες πριν, MDefender είπε

Ακόμα και SMB εταιρίες δεν πρέπει να χρησιμοποιούν NAS servers πια,η ψαλίδα στις τιμές έχει μικρύνει για να ρισκάρεις κάτι σημαντικό.Εφόσον δεν υπάρχει budget πας καρφί στο cloud(Azzure) και άσε τη Microsoft να βγάλει το φίδι από την τρύπα.

Ας δώσουμε λοιπόν όλοι τα δεδομένα μας σε 3-4 μεγάλους να τα φυλάνε για εμάς. What could possibly go wrong? Oh wait.... Isn't it year 2010?

Έγραψα το παραπάνω με χιουμοριστική διάθεση κι όχι για να σε θίξω. Κρίνω πως η αποθήκευση σημαντικών και προσωπικών δεδομένων στο Cloud είναι λάθος πρακτική. Οι λόγοι που βασίζω την άποψή μου, είναι μια 10ετία με άπειρα περιστατικά από τεράστιες Databases που βρέθηκαν Online, από μεγάλες εταιρείες που «χτυπήθηκαν» από άπειρα δεδομένα του Cloud που έπεσαν σε λάθος χέρια και πολλά πολλά άλλα. Αν δεν μαθαίνουμε από την ιστορία, τότε είμαστε οι επόμενοι στο στόχαστρο.

Επίσης δεν υπάρχει one size fits all. Μιλώντας για εταιρείες, ένα π.χ. λογιστικό γραφείο διαπράτει αδίκημα αν έχει τα προσωπικά στοιχεία των πελατών του απροστάτευτα στο Cloud, χωρίς να έχει ειδική συμφωνία με την εταιρεία του Cloud που να συμορφώνεται ως προς τον ΓΚΠΔ (πιο γνωστό και ως GDPR). Το ίδιο και οι γιατροί (ευαίσθητα προσωπικά δεδομένα!), εξεταστικά κέντρα, δικηγόροι, εκπαιδευτικοί, σύλλογοι, ενώσεις, κλπ, κλπ, κλπ. Το ίδιο ισχύει και για Gmail, Outlook, κλπ.

Είναι πολύ εύκολο κάποιος να «διασκεδάσει τις εντυπώσεις», χαρακτηρίζοντας τα παραπάνω υπερβολικά. Το πανηγύρι όμως έχει ξεκινήσει.... Ευρωπαϊκές χώρες ήδη κρίνουν παράνομη τη χρήση του Google Analytics. Ούτε που φαντάζομαι τι θα συμβεί όταν βρουν σε Cloud/Gmail/κλπ ιατρικές καρτέλες ασθενών, φορολογικές δηλώσεις, κ.α.

Αυτά τα ολίγα, για να μη σας κάνω να βαρεθείτε. Ο καθένας ας αναζητήσει νομική συμβουλή ώστε να κρίνει από μόνος του, τι του ταιριάζει καλύτερα.

Επεξ/σία 23 Φεβρουαρίου 2022 από Tony_Ts

[bubu]

23 ώρες πριν, kirileman είπε

Οκ. Το version history του NAS επηρεάζεται;

Ότι έχεις στο NAS το χάνεις.

[MDefender]

4 ώρες πριν, Tony_Ts είπε

Ας δώσουμε λοιπόν όλοι τα δεδομένα μας σε 3-4 μεγάλους να τα φυλάνε για εμάς. What could possibly go wrong? Oh wait.... Isn't it year 2010?

Έγραψα το παραπάνω με χιουμοριστική διάθεση κι όχι για να σε θίξω. Κρίνω πως η αποθήκευση σημαντικών και προσωπικών δεδομένων στο Cloud είναι λάθος πρακτική. Οι λόγοι που βασίζω την άποψή μου, είναι μια 10ετία με άπειρα περιστατικά από τεράστιες Databases που βρέθηκαν Online, από μεγάλες εταιρείες που «χτυπήθηκαν» από άπειρα δεδομένα του Cloud που έπεσαν σε λάθος χέρια και πολλά πολλά άλλα. Αν δεν μαθαίνουμε από την ιστορία, τότε είμαστε οι επόμενοι στο στόχαστρο.

Επίσης δεν υπάρχει one size fits all. Μιλώντας για εταιρείες, ένα π.χ. λογιστικό γραφείο διαπράτει αδίκημα αν έχει τα προσωπικά στοιχεία των πελατών του απροστάτευτα στο Cloud, χωρίς να έχει ειδική συμφωνία με την εταιρεία του Cloud που να συμορφώνεται ως προς τον ΓΚΠΔ (πιο γνωστό και ως GDPR). Το ίδιο και οι γιατροί (ευαίσθητα προσωπικά δεδομένα!), εξεταστικά κέντρα, δικηγόροι, εκπαιδευτικοί, σύλλογοι, ενώσεις, κλπ, κλπ, κλπ. Το ίδιο ισχύει και για Gmail, Outlook, κλπ.

Είναι πολύ εύκολο κάποιος να «διασκεδάσει τις εντυπώσεις», χαρακτηρίζοντας τα παραπάνω υπερβολικά. Το πανηγύρι όμως έχει ξεκινήσει.... Ευρωπαϊκές χώρες ήδη κρίνουν παράνομη τη χρήση του Google Analytics. Ούτε που φαντάζομαι τι θα συμβεί όταν βρουν σε Cloud/Gmail/κλπ ιατρικές καρτέλες ασθενών, φορολογικές δηλώσεις, κ.α.

Αυτά τα ολίγα, για να μη σας κάνω να βαρεθείτε. Ο καθένας ας αναζητήσει νομική συμβουλή ώστε να κρίνει από μόνος του, τι του ταιριάζει καλύτερα.

Συμφωνώ απόλυτα μαζί σου όσο αφορά το cloud.Εγώ είμαι αντίθετος ως προς του NAS Servers όχι με το On Premise γενικότερα.Τοποθετήθηκα καθαρά για αυτό αρχικά,δεν υπάρχει λόγος ακόμα και μία μικρή εταιρία να τρέχει με NAS αντί με Windows Server όπως πρέπει,όπως είπα οι τιμές δεν διαφέρουν πάρα πολύ.Με ένα μεταχειρισμένο μηχάνημα και Windows server 2012 οι περισσότερες μικρές εταιρίες μια χαρά κάνουν τη δουλειά τους.

[byerseller]

4 ώρες πριν, MDefender είπε

Συμφωνώ απόλυτα μαζί σου όσο αφορά το cloud.Εγώ είμαι αντίθετος ως προς του NAS Servers όχι με το On Premise γενικότερα.Τοποθετήθηκα καθαρά για αυτό αρχικά,δεν υπάρχει λόγος ακόμα και μία μικρή εταιρία να τρέχει με NAS αντί με Windows Server όπως πρέπει,όπως είπα οι τιμές δεν διαφέρουν πάρα πολύ.Με ένα μεταχειρισμένο μηχάνημα και Windows server 2012 οι περισσότερες μικρές εταιρίες μια χαρά κάνουν τη δουλειά τους.

Τι Winblows και αζουρ και χαζομάρες,  μόνο ΤΑ Λίνουξ είναι άτρωτα,  όλο το cloud τρέχει σε Λίνουξ και ακόμα και το κινητό σου και η τοστιέρα σου. Είδες ποτέ κάνα Λίνουξ να έχει ransomware; Μόνο η M$ έχ...

 

Oh wait...