DSM 7.1 Hack Versuch auf meiner Synology

[Ronny1978]

Ich denke auch, dass @Michael Wacenovsky hier verschiedene Probleme mit einmal angeht.

https://www.synology-forum.de/threa...laufwerk-verbinden-nicht.140381/#post-1262220

https://www.synology-forum.de/threads/warum-funktioniert-ddns-nicht.140370/#post-1262115

Sind denn die Probleme erstmal gelöst? In den Posts finde ich dazu nichts. Schön wäre halt, mal zu erfahren, ob du erstmal die Probleme lösen konntest.

 

[ottosykora]

wundere mich nur, was das für ein user sein sollte

Das sind Automaten, also auf Rechner läuft eine SW die scannt zuerst mal rinfach IP, dann wenn da auf einem Port was offen ist, also dort ein Program antwortet, kann man versuchen anzuklopfen. Hat eigentlich kaum eine Wirkung. Verursacht aber zumindest Traffic an dem Abschluss was alleine schon einige nerven kann.
Der Automat hier ist etwas blöd, die meisten versuchen so was wie admin zuerst.

 

[Michael Wacenovsky]

Ich habe 2FA und verwende Authenticator App. Ist es dennoch bedenklich, wenn so viele login-Versuche stattfinden?

 

[snibchi]

@snibchi Wird nicht viel helfen, die Login-Versuche in #1 stammen fast alle von unterschiedlichen IP-Adressen.

Ja und? Dann werden eben die verschiedenen IPs automatisch nacheinander gesperrt. Meine Liste z. B.:



Außerdem Sperrung alles was außerhalb der EU kommt über die FW. Beispiel:

 

[Michael Wacenovsky]

Ich denke auch, dass @Michael Wacenovsky hier verschiedene Probleme mit einmal angeht.

https://www.synology-forum.de/threa...laufwerk-verbinden-nicht.140381/#post-1262220

https://www.synology-forum.de/threads/warum-funktioniert-ddns-nicht.140370/#post-1262115

Sind denn die Probleme erstmal gelöst? In den Posts finde ich dazu nichts. Schön wäre halt, mal zu erfahren, ob du erstmal die Probleme lösen konntest.

das funktioniert alles.

 

[Michael Wacenovsky]

Welcher ist denn dein DSM Port? 5000 (http) /5001 (https)? Dann ja.

5001

 

[Michael Wacenovsky]

@Michael Wacenovsky Aber Fragen beantworten ist auch noch so deine Stärke?

Ich beantworte Fragen, wenn ich dazu komme. Ich arbeite nebenbei auch und bin auch in Meetings. Und das hier ist ein Privatproblem.

 

[geimist]

Es war die ungeschriebene Frage, wie man damit umgeht.

Sichere Benutzernamen und Passwortkombination in Zusammenhang mit 2FA hast du schon genannt - prima!

Darüber hinaus:

• schließe alle externen Ports, auf die du nicht zwingend aus dem Netz zugreifen musst
• nutze Subdomains, statt Standardports ➜ z.B. syno.ddns.com , photo.ddns.com
  Bei einem Port 5001 wissen Angreifer schon vorher, dass es sich wahrscheinlich um ein Synology NAS handelt.
• sperre in der Firewall Länder, die nichts auf deinem NAS zu suchen haben, bzw. erlaube explizit nur erwünschte
• pflege bekannte böse IPs automatisch in die Blocklist ein (aktiviere auch eine Verfallszeit - IPs sind für die Bösewichte schnell verbrannt)

Mit diesen Maßnahmen habe ich nur noch alle paar Monate einen fehlerhaften Loginversuch auf Port 25 (den ich nicht verbiegen kann).

 

[Ronny1978]

5001

Den würde ich als erstes abändern.

https://mariushosting.com/synology-how-to-change-ports-5000-and-5001-on-dsm-7/
https://kb.synology.com/de-de/DSM/tutorial/How_to_add_extra_security_to_your_Synology_NAS

 

[Michael Wacenovsky]

ich habe auf Quick Connect umgestellt. Erscheint mir sicherer. Ich verstehe nur nicht, warum ich bisher über Jahre keinen login Versuch hatte und dies heute Nacht schlagartig begann

 

[Hagen2000]

Vermutlich Zufall. Sicher und gleichzeitig schnell ist m. E. nur eine Verbindung über einen VPN-Tunnel.

 

[ottosykora]

warum ich bisher über Jahre keinen login Versuch hatte

wahrscheinlich war da schon was, vor allem mit standard Port
aber man merkt ja nichts davon, es sei denn man geht die Logs zu betrachten was.
Einen hohen 5-stelligen Port zu nehmen ist eine gute temporäre Lösung.


Wenn dir allerdings QC genügt von der Geschwindigkeit her, dann ist es durchaus problemlos und sehr einfach, vor allem bei Synology Apps auf Phone etc.
Aber dann wirklich Ports nach aussen am Router schliessen.

 

[Hagen2000]

Dann werden eben die verschiedenen IPs automatisch nacheinander gesperrt.

Da sammelst Du dann aber mit der Zeit immer mehr Adressen in deiner Firewall an. Wie in #28 schon vorgeschlagen, würde ich auch eine plausible Verfallszeit vorsehen.
Außerdem greift der Filter nur, wenn die gleiche IP-Adresse mehrfach innerhalb des vorgegebenen Zeitfensters versucht zuzugreifen. Mittlerweile sind die Angreifer schlauer geworden und verwenden immer wieder wechselnde IP-Adressen (oder permutieren diese innerhalb eines Subnetzes) und greifen "nicht zu schnell" zu, um Tools wie fail2ban oder eben die Zugriffsbeschränkungen des NAS auszutricksen.

 

[synfor]

Ja und? Dann werden eben die verschiedenen IPs automatisch nacheinander gesperrt.

Nein werden sie nicht. Dir ist da offensichtlich entgangen, dass es beim Threadstarter wohl immer nur einen Versuch pro IP-Adresse gab, zumindest in dem sichtbaren Logausschnitt.

 

[NSFH]

Also zuerst einmal zeigt die Syno nicht alles an, was an Eindringversuchen statt gefunden hat. Was man sieht sind die, die auf bestimmte von der Syno genutzte Ports zielen. Das ist aber nur ein Bruchteil des tatsächlichen Betriebs auf deinen nach aussen zeigenden Ports.
Umstellung auf .me geht, macht aber die Zugriffe langsam.

Zielführend sind eigentlich drei (alternativ zwei) Massnahmen:
1. Verwendung des Reverse Proxy der Syno, um den gesamten Portverkehr über 443 laufen zu lassen. Dann können alle anderen Weiterleitungen aus dem Router zur Syno entfallen
2. Verwendung des hier im Forum verbreiteten sh Scripts mit der laufend, automatisch aktualisierten Blacklist
3. als Standard eine sauber konfigurierte Firewall in der Syno
alternativ:
1. VPN benutzen.
2. als Standard eine sauber konfigurierte Firewall in der Syno

Alles andere ist Quark!

 

[Michael Wacenovsky]

Ich verwende jetzt QuickConnect und habe alle eingehenden Ports am Router gesperrt.

 

[Ronny1978]

Das wäre die "langsamste" aller Methoden. Deshalb hatte ja @ottosykora bereits in Post #32 den Hinweis gegeben....

Wenn dir allerdings QC genügt von der Geschwindigkeit her, dann ist es durchaus problemlos und sehr einfach, vor allem bei Synology Apps auf Phone etc.