Sicherheitskonzept

[OdinsAuge]

Hallo,

Ich bin wieder mal bei der Absicherung meiner DS gelandet und würde mich über Feedback bzw. Tipps freuen.

Derzeit sieht mein Konzept so aus:

Im Router (Fritzbox) ist nur ein einzelner, benutzerdefinierter Port freigegeben, der auf meine DS weitergeleitet wird. Auf der DS teilt dann der Reverse Proxy Subdomains in Verbindung mit dem einen extern freigegebenen Port auf die jeweiligen Dienste und deren Ports auf.

Alle Dienste verwenden benutzerdefinierte Ports und nur die https-Variante ist verwendbar (Let's Encrypt Zertifikate).
Es gibt im Reverse Proxy 3 Einträge, 2 für Synology-Anwendungen und einen für Nextcloud auf dem Webserver der DS.
Im LAN sind noch weitere Anwendungen erreichbar, die haben aber keinen Reverse Proxy konfiguriert.
Auf der DS ist zusätzlich die Firewall konfiguriert (Whitelist), die die 3 extern freigegebenen Dienste nochmal auf den Zugriff aus dem eigenen Land begrenzt und alle lokal verfügbaren Dienste auf einzelne Geräte im LAN einschränkt.

Auf der DS sind alle Sicherheitsvorkehrungen aktiviert (DoS-Schutz, IP/Konto blockieren nach x Fehlversuchen, etc). Nextcloud ist ebenfalls mit diesen Mechanismen geschützt. Alle Logins (DS und Nextcloud) sind mit 2FA geschützt.

Die DS wird regelmäßig auf eine 2. DS gesichert (die nur während dem Backup in Betrieb ist) und es existiert ein weiteres Backup auf einem externen Datenträger.

Primär greifen nur 2 Personen auf die Dienste der DS zurück, ausgenommen gelegentlicher (gesicherter und zeitlich begrenzter) Freigaben über Nextcloud.

Dass es keine absolute Sicherheit gibt, ist mir durchaus bewusst, mir geht es eher darum Kosten/Nutzen weiterer Maßnahmen auszuloten.
Firewall und Reverse-Proxy direkt auf der DS laufen zu haben ist nicht optimal, daher habe ich mir überlegt einen Pi einzusetzen. Was würde auf dem Pi mehr Sinn machen, die Firewall oder der Reverse Proxy? Brächte mir der Pi überhaupt einen Mehrwert? Sollte ich sonst noch Änderungen vornehmen?

 

[blurrrr]

Eine Firewall sollte grundsätzlich "vor" dem Reverse-Proxy laufen und wäre theoretisch am besten direkt hinter dem Router/Modem aufgehoben. Heisst aber - extra Hardware. Aber ganz ehrlich... kann man sicherlich alles machen, aber für das bisschen da... Kirche mal im Dorf lassen... Ich vermute mal, dass Du bei Deinem Auto (sofern vorhanden) nicht 20 Decken und 50 Befestigungsgurte (inkl. Halterungen an den Innenseiten Deines Autos hast), falls Du mal was transportieren musst.

Mehr kann man immer machen, aber mit dem "mehr" steigt auch der Verwaltungsaufwand "enorm". Die einen finden es in den ersten Tagen supertoll, danach nervt es nur noch und wird vernachlässigt. Ist wie mit einem Monitoring-System, welches Dir für "jeden Furz" eine Mail schickt, da guckt dann irgendwann auch keiner mehr hin

 

[OdinsAuge]

Darum geht es mir ja, Kosten/Nutzen abwägen. Bzw. leicht zu behebende Lücken finden.

Findest du Mehraufwand für eine Privatperson nicht gerechtfertigt weil die anderen Maßnahmen für den Bereich sicher genug sind oder gehts darum, dass die weiteren Maßnahmen viel Aufwand bedeuten aber trotzdem relativ schnell umgangen werden können?

Wenns ums Thema Sicherheit geht klaffen die Meinungen oft stark auseinander aber oft können fehlen die Begründungen für diverse Behauptungen.
Ich habe beispielsweise im QNAP-Forum eine Frage zu benutzerdefinierten Ports und Firewall gestellt (QNAP ist da etwas eingeschränkt) und wurde gleich mit Kommentaren bombardiert wie ich nur danach Fragen kann und wie ich es nur wagen kann mit dem NAS ins Internet zu wollen.