Asegurar tu NAS Synology

En estos últimos día ha saltado la noticia de una malware que esta afectando a algunos usuarios de NAS de Synology. Concretamente se trata de un ransomware (secuestro) llamado SynoLocker que lo que hace es encriptar los archivos para que no podamos acceder a ellos y nos pide un rescate para poder recuperalos.

El programa sustituye la página inicial de acceso al NAS por el mensaje que veis en la imagen, para poder recuperar los archivos hay que pinchar en el enlace que nos envía a una pagina de la red Tor en la que realizando un pago de 0,6 bitcoins (261,13 EUR) nos liberan los archivos.

Aunque de momento hay poca información oficial parece que solo están afectados los NAS con versiones de DSM antiguas (DSM 4.3-3810 o anteriores), al hacer uso de una vulnerabilidad de seguridad que se había resuelto en diciembre de 2013.

Independientemente de este problema lo mejor si tenemos nuestro NAS conectado a internet es protegernos. ¿Y que podemos hacer para protegernos?

1. Tener actualizado nuestro dispositivo a la última versión disponible. Continuamente los fabricantes vas sacando nuevas versiones que no sólo añaden nuevas funcionalidades sino que además corrigen errores que se van detectando. Se realiza desde Panel de control - Actualizar y restaurar - Actualización de DSM.
2. Crear un nuevo usuario con privilegios de administrador y desactivar la cuenta admin que es la que se usa por defecto. Se realiza desde Panel de control - Usuario - Usuario.
3. Activar el bloqueo automático de IP por intentos de conexión fallido. Esta opción bloquea las conexiones desde una dirección IP cuando detecta mas de 5 intentos fallidos en menos de 5 minutos. Se puede cambiar el numero de intentos y el tiempo. Se realiza desde Panel de control - Seguridad - Bloqueo automático.
4. Activar el firewall interno y bloquear IPs de países de los que no vamos a recibir conexiones. Es poco común nuestro NAS vaya a recibir conexiones de cualquier sitio del mundo por lo que podemos o limitar la conexión solo a nuestro país o, al menos, limitar conexiones desde países desde los que no vamos a recibir conexiones. Se realiza desde Panel de control - Seguridad - Cortafuegos.
5. Cambiar puertos de conexión predeterminados.  Por defecto se utilizan los puertos 5000 (http) y 5001 (https) que pueden ser cambiados por cualquier otro. Se realiza desde Panel de control - Red - Configuración de DSM.
6. Activar verificación en dos pasos desde el menú de opciones. Esta opción nos obliga a introducir además de nuestro usuario y contraseña un código que recibiremos cada vez que vayamos a conectarnos a DSM.
7. Abrir en el router solo los puertos que de verdad necesitemos.

Si seguimos estas instrucciones se lo pondremos mas complicado a los intrusos que pretendan acceder a nuestro NAS sin nuestro permiso.

Si tengo tengo tiempo detallaré en una futura entrada cada una de las opciones, mientras tanto si necesitáis mas información nada mas que tenéis que poneros en contacto conmigo.