Frage Sicherheit Webstation und private Daten Wie macht ihr das?

[steje43]

Hallo,

ich habe hier mal gelesen, dass man die private Daten nicht auf einer DS speichern, soll die die Webstation oder Mailserver und weitere Internetdienste am Laufen haben.

Also habe ich zwei DS´s eine für Mailserver, Webstation, Nextcloud und eine weitere für die persönlichen Daten bei mir im Netz.

Nun habe ich mir die DS918+ gekauft und frage mich ob das eigentlich stimmt oder blödsinn ist. Schön wäre doch nur ein System zu haben und ggf. ein Backup NAS.

Wie macht ihr das? Trennt ihr eure Daten? Oder reicht eine ordentlich Absicherung des NAS?

Gruß
Jens

 

[blurrrr]

Glaubensfrage

 

[DigiMuc2016]

Nun habe ich mir die DS918+ gekauft und frage mich ob das eigentlich stimmt oder blödsinn ist. Schön wäre doch nur ein System zu haben und ggf. ein Backup NAS.

Na die Frage hätte ich mir vor dem Kauf gestellt. Private Daten ist auch so ein Sammelbegriff wo man vieles drunter verstehen kann.

 

[Tommes]

Glaubensfrage

Veto!

Diejenigen die "glauben" das schon alles gut gehen wird, haben die Zeichen der Zeit nicht erkannt. Denn Sicherheit schafft man sich nicht durch Glauben, sondern durch Wissen. Und wie heißt es so schön: Unwissenheit schützt vor Strafe nicht.

Anderseits hat blurrrr auch wieder Recht mit dem was er sagt, denn es ist in der Tat auch eine Glaubensfrage. Was der eine für gefährlich hält, winkt der andere mit einem müden Lächeln ab, was einem als sicher erscheint, lässt anderen die Haare raufen.

Was bleibt ist ein Mix aus Glauben, Wissen und der eigenen Paranoia. Denn du wirst feststellen... frag 10 Leute nach ihrer Meinung zu diesem Thema und du bekommst mindesten 11 Antworten.

Was also tun? Ich persönlich würde privates und öffentliches physisch von einander trennen, wobei ich öffentlich als all das bezeichne, was ich auch bedenkenlos auf eine Postkarte schreiben würde. Alles andere gehört für mich nicht mal in die Nähe des Internets, außer die Daten liegen verschlüsselt vor.

Wenn eine Trennung nicht möglich oder erwünscht ist, so sollte man zumindest für die nötige Sicherheit sorgen. Das gelingt aber nur, indem man sich Wissen aneignet und sich nicht der Illusion hingibt, das schon nichts passieren wird.

Ich hab eine Zeit lang mit logwatch und fail2ban einen Raspberry Pi überwacht, welcher mir mal als Webserver diente. Und was ich da alles in den Log-Files gesehen hab, ließ mich große Augen machen. Seit dem bin ich da vorsichtig geworden, auch wenn der Großteil der Log-Einträge nur das normale Hintergrundrauschen des Internets widerspiegeln.

Tommes

 

[blurrrr]

Kann man Tommes nur 100%ig recht geben. Als kleine Randinfo die Kurzinfo einer Firewall:

Heutiger Bedrohungsstatus
Firewall: 87 906 Pakete gefiltert

Natürlich nicht alles direkte "Angriffe", es wird auch einfach nur viel Müll weggefiltert, aber vielleicht hilft es ja bei Deiner Überlegung. Sowas kriegen Besitzer eines normalen SOHO-Routers i.d.R. garnicht mit, von daher wollte ich euch das auch nicht vorenthalten... Auch wenn das vielleicht nach "viel" aussieht (auch 200.000 gefilterte Pakete sind keine Seltenheit)... ist eher das normale "Grundrauschen"

 

[heavy]

Bei vielen hier (wie auch bei mir ) stellt sich die Frage wie Leistungstark ist denn die andere DS sollte es eine geben. Ich hätte lieber wenn der Mailsever/webserver/VPN-server/etc getrennt von meinen Privaten Daten wäre auf der anderen Seite nutze ich aber auch die Photostation / Audiostation am Handy, so müsste ich ja die Daten schon wieder Doppelt haben. Auch greife ich manchmal auf die normalen Daten zu (gut das ginge dann auch wieder per VPN sofern das nicht geblockt wird). Leider ist meine zweite DS (die ich als Backup nutze) mitlerweile so schwach auf der Brust dass sie die Aufgaben nicht zufriedenstellend erledigen kann. Weder als Datenspeicher im Netz noch als Web/Mailserver. Dann würde mir auch wieder das Backup fehlen und ich hätte auch zwei Maschinen die 24/7 am laufen sind.

Also du musst wissen was du willst, was du brauchst und dich dann für eine Variante entscheiden.

 

[steje43]

Veto!

Diejenigen die "glauben" das schon alles gut gehen wird, haben die Zeichen der Zeit nicht erkannt. Denn Sicherheit schafft man sich nicht durch Glauben, sondern durch Wissen. Und wie heißt es so schön: Unwissenheit schützt vor Strafe nicht.

Anderseits hat blurrrr auch wieder Recht mit dem was er sagt, denn es ist in der Tat auch eine Glaubensfrage. Was der eine für gefährlich hält, winkt der andere mit einem müden Lächeln ab, was einem als sicher erscheint, lässt anderen die Haare raufen.

Was bleibt ist ein Mix aus Glauben, Wissen und der eigenen Paranoia. Denn du wirst feststellen... frag 10 Leute nach ihrer Meinung zu diesem Thema und du bekommst mindesten 11 Antworten.

Was also tun? Ich persönlich würde privates und öffentliches physisch von einander trennen, wobei ich öffentlich als all das bezeichne, was ich auch bedenkenlos auf eine Postkarte schreiben würde. Alles andere gehört für mich nicht mal in die Nähe des Internets, außer die Daten liegen verschlüsselt vor.

Wenn eine Trennung nicht möglich oder erwünscht ist, so sollte man zumindest für die nötige Sicherheit sorgen. Das gelingt aber nur, indem man sich Wissen aneignet und sich nicht der Illusion hingibt, das schon nichts passieren wird.

Ich hab eine Zeit lang mit logwatch und fail2ban einen Raspberry Pi überwacht, welcher mir mal als Webserver diente. Und was ich da alles in den Log-Files gesehen hab, ließ mich große Augen machen. Seit dem bin ich da vorsichtig geworden, auch wenn der Großteil der Log-Einträge nur das normale Hintergrundrauschen des Internets widerspiegeln.

Tommes

Vielen Dank für eure Antworten. Genau was sind private Daten, für mich nur private Briefe, Bewerbungen, Lebensläufe etc. Vieles liegt durch DMS schon verschlüsselt vor.

Ich werde die 918+ nutzen und mir eine Verschlüsselunglösung überlegen. Die DS216+ dient dann als Backup NAS.

 

[TurboAsterix]

Hallo,

ich nutze eine DS216+II mit Web Station und einer über DynDNS angebundenen Strato Domain. Meine Überlegungen dazu sind die folgenden wenn man die DS als Webstation und als private DS nutzt:

- Keine komplexen Seiten in Web Station (nur statische HTML Seiten, kein Wordpress oder anderes CMS), Gefahr der Kompromittierung über statische Seiten eher gering
- DSM immer aktuell halten, aber so ca. 1-2 Wochen Verzug dürfen es sein falls ein Paketupdate Mega Bugs enthält wie es z.B. bei Cloudstation war, kommt darauf an was gerade gefixt wird. Ein gepflegtes DSM hätte bereits Synolocker verhindert.
- HTTPS Zertifikat installieren, z.B. kostenfrei und automatisch über Lets Encrypt
- Konsequente/ausschließliche Verwendung von HTTPS für DSM (Web Frontend, File Sharing), Web Station (bei mir über Rewrite Rule) und Photo Station
- Sicherheitsberater Paket unter Erweitert auf für "Arbeit und Unternehmen" einstellen und konsequent alle Punkte beheben
- DSM Ports anpassen, auf andere höhere Ports umlegen. Geht dann auch in den iOS Apps, Port mit Doppelpunkt hinter die Domain schreiben
- 2-Faktor Authentifizierung für DSM aktivieren
- Unter Sicherheit, automatische Blockierung von IP Adressen aktivieren
- Keine File Dienste (AFP, SMB) oder ähnlich ins Internet freigeben -> Never ever.
- Keine HTTP Verbindungen verwenden -> Never ever.

Aus Cloud Station, File Station und Photo Station heraus kann man dann HTTPS Links mit der eigenen Domain und Ablaufdatum generieren und verschicken, ohne irgendwas zu Cloud Diensten rumzukopieren.
Das ist schon komfortabel. Ich hatte vorher eine VPN Lösung, das ist schon irgendwie sperrig - aber definitiv sicherer wenn man die Synology garnicht nach draußen lässt.

Ich halte das alles aber unter den oben genannten Punkten für vertretbar und als Balance zwischen verantwortungsvoll und Paranoia.

Viele Grüße,
TurboAsterix