NAS真的不安全嗎？華華世界芸中有道——ASUSTOR「縱深資料防護」！

對小夜來說要不要部署NAS，最後的考量就是——對資訊安全的擔憂！相信你也有同感？所以這次很高興能向廠商借到實機體驗。在有限的時間與篇幅內，首先扼要提點資安概念，接著檢視華芸的資安解決方案，最後提出心得小結。

✎說到資訊安全（Information Security），一定要提及的就是：C.I.A.（這裡指的可不是中央情報局或聯想到史諾登Snowden☉д⊙），是正經的理論機密性（Confidentiality）、完整性（Integrity）與可用性（Availability），三項安全目標1.2.：

✎但太過依賴理論，與現實脫節也不行。參考center for internet security（網際網路安全中心）發佈的CIS Controls Version 7第七版指南3.4.：

前兩項是硬體軟體資產庫存和控制即是資產分級，第三項是漏洞管理，第四是最高權限管理，第五是安全性組態配置，第六是事件日誌的維護監控分析。

第七是電子郵件和瀏覽器的防護，第八是惡意軟件防禦即防毒軟體，第九是網絡端口和服務的限制和控制，第十是數據恢復能力，第十一是網絡設備的安全組態配置⋯⋯

關鍵第一點當然是數位資產分級，若自己都不知道那些資料對自己重要，那些沒那麼重要又何談資料保護、安全呢？接著大致綜整後重要性是：

✎接著就來看華芸的解決方案

機型：AS4002T

可在每次登入ADM時，或是依時間排程檢查ADM版本並進行ADM的更新，ADM更新同時會一併對相容/不相容的APP進行更新。

也能設定email、簡訊，在發生以下四種類別的事件時進行通知，讓維護者可以快速判別進行處理。

• 訊息
• 錯誤
• 警告
• 緊急

• 接著來看其他功能：

單一安全機制避無可免會有弱點，藉由多層安全機制來相互補強，由外而內層層阻絕侵入，提高一擊直達核心的難度，即是縱深防禦（Defense in Depth）的策略。而華芸的縱深資料防護分為三層：

第一層級

針對外部網路安全防禦有防火牆及 ADM Defender 設定，以避免來自網際網路的惡意攻擊。

登入進ADM桌面會看到偏好設定的選項。點進去後會看ADM Defender，裡面有防火牆，開啟它來阻擋亂入的網路連線。

網路防護則有四個規則可以進行設定：信任清單是透過加入來達成不會受黑名單影響的設置，自動黑名單則是可以透過時間內用戶登入失敗次數來讓系統自動封鎖用戶端的IP，黑名單可以透過手動方式輸入IP或是透過地區定義來限制使用者登入，最後白名單的功能則與黑名單相反。

這裡以黑名單裡之IP地理位置做個小實驗，先選擇哪一洲再進一步選擇哪個國家。

設置完成後可以看到新加坡被拉進黑名單裡了

接下來，實驗組透過VPN至新加坡，嘗試登入手機的AiData，會發現它會一顯示載入中，無法成功登入。

對照組則是沒有做其他設定直接登入AiData，會發現他一下子就成功登入了

多數人家中都不是固定ip，手機ip也非固定的，綁信任清單不實際，相較能依國家地區封鎖的功能就很實用，建議搭配自動黑名單與白名單一同設定。

第二層級

針對系統安全連線設定提供 VPN 加密連線(IPSec/L2TP)、SSL 憑證連線、逾時自動登出系統機制；針對使用者控制有資料夾、檔案、應用程式獨立分權設定，個別登入的兩步驟驗證。

預設使用者閒置「自動登出時間」為1小時。若要提高安全性，進入偏好設定→一般裡頭可以縮短自動登出的時間，減少使用公用電腦忘記登出之意外狀況產生損害的可能性。

第三層級

針對內部資料的防護有MyArchive 離線備份、AES-256 bit 資料夾加密及防毒軟體以隔離木馬程式惡意植入的檔案。

雖說有了防毒軟體，萬一還是中鏢了......不巧又是「勒索軟體」呢！？

如同「資安意識7.」平常就要有「備份意識」。最理想的狀況是遵循「備份321原則8.」，而NAS不但能備份將電腦、手機裡的資料，還能個別同步至雲端空間（Google Drive、Dropbox、OneDrive等），更能UrBackup備份Windows系統！

若NAS中的檔案遭到損毀，使用「iSCSI LUN 快照」即可迅速回復資料9.，服務不斷線。所以也記得要設定排程（好多設定0_0）。

若遭到攻擊的是NAS系統，即ADM淪陷了怎麼辦！？

最後大絕招：使用華芸獨家MyArchive功能10.，設定排程轉移重要資料到 MyArchive 硬碟裡，再定期將硬碟送到安全的地點集中收藏11.。即使NAS掛了重要資料還在MyArchive硬碟，還原出廠設定→匯入系統備份檔→插入MyArchive硬碟→復原完成！

MyArchive功能同時達到無限容量擴充和異地資料備份的目的。（還會用AES-256加密整個硬碟）


天下沒有絕對安全的系統。1. 每個人有空都要為自己做數位資產分級，尤其打算使用NAS的人強烈建議要做的前置作業，順道評估自己是否有需要入手，分類出那些資料是最重要的不想遺失洩漏，那些即使遺失外洩也不會太痛。接著依不同重要性分級進行不同的備份處理，如：NAS本身即可設定RAID保護資料、與雲端空間同步、定期進行MyArchive硬碟備份，甚至利用MyArchive硬碟設計氣隙（Air gap）隔離，讓機密性很大程度的提高，要使用時又不會太繁雜。若要同時啟用RAID與MyArchive，得用2bay以上的機型，本次體驗的就不適合。因此三項安全目標中，只有可用性在面臨惡意人士針對時會無法達成（本來抵禦DDos就需要專業的資安設備或與ISP合作進行進階流量分析）。實務上的即時更新、安全性的組態配置和防毒軟體皆沒有問題。在上述分類與設定皆確實做好，我覺得沒有理由要太過擔心資安問題。本次測試綁定USB作為MyArchive硬碟的實體金鑰只能單獨使用，即設定MyArchive解密方法時無法選擇多重因素認證，希望可以改進並支援FIDO裝置，包含登入的時候。最後安全無上限，這邊只著墨到產品本身，而沒有論及華芸本身的流程方法，發生問題時如何解決12.？如漏洞管理，有無資安事件應變團隊13.等。本次體驗先到這裡打住，NAS新人一枚，還請多多指教。

原則1：天下沒有絕對安全的系統 原則2：安全目標為確保資訊的機密性、完整性與可用性 原則3：資訊安全需要縱深防禦的策略 原則4：資訊安全的機制不能過度依賴人的因素 原則5：電腦安全有賴於系統的功能需求與保證需求的達成 原則6：不公開安全機制並不保證更安全 原則7：資訊安全的等級取決於風險管理的考量 原則8：安全控制措施以預防、偵測與回應攻擊為主 原則9：複雜不利於安全 原則10：恐懼、不確定性與懷疑，無助於推動安全 原則11：保護系統需要人員、流程與技術的相互配合 原則12：公開弱點有助於安全

1. 侯永昌，〈資訊安全基礎原則〉，

ftp://im1.im.tku.edu.tw/Prof_Hou/�q�l�ӰȦw��/��T�w����¦��h.ppt。

2. 〈A01-002資訊安全概論〉，

http://avp.toko.edu.tw/docs/class/1/資訊安全概論.pdf。

3. Center for Internet Security, CIS Controls Version 7,

https://www.cisecurity.org/controls/。

4. 行政院國家資通安全會報技術服務中心，〈政府組態基準(GCB)實作研習活動〉，

http://download.nccst.nat.gov.tw/attachfilegcb/01.107年GCB實作研習活動_政府組態基準(GCB)政策說明(含例外管理方式).pdf，頁4。

5. 周峻佑，iThome，〈透過簡訊執行二次驗證不再安全，美國國家標準技術研究所建議別再使用〉，https://www.ithome.com.tw/news/112845。
ASUSTOR，〈ADM 2.7〉，https://www.asustor.com/adm/adm2_7。

ASUSTOR，〈資料備份與還原〉，
https://www.asustor.com/admv2?type=2&subject=4&sub=118&lan=zh_tw。

ASUSTOR, Using MyArchive,
https://www.asustor.com/en/online/College_topic?topic=255.


小山豬的記事本，〈ASUSTOR - SSL憑證 免費申請使用〉，http://jypchome.blogspot.com/2018/10/asustor-ssl.html。
小治，T客邦，〈QNAP / Synology 兩大廠NAS 防範勒索病毒大作戰，從兩階段驗證、資料夾加密、異地備份一次完整學完〉，https://www.techbang.com/posts/62556-qnap-synology-two-factory-nas-to-prevent-ransomware-virus-detailed-teaching-rely-on-nas-to-help-establish-backup-strategy-security-reconstruction-data。

amigoccs，iT邦幫忙，〈在 ADM(Asustor), DSM(Synology), 與 QTS(QNAP) 啟用資安設定，強化 NAS 安全。amigoccs 〉，
hhjau，批踢踢實業坊，〈華芸 AS5002T 試用分享〉，
https://www.ptt.cc/bbs/Storage_Zone/M.1425003000.A.D82.html。