Bạn đầu tư hơn hai mươi triệu đồng để sắm một chiếc ổ cứng mạng (NAS) của Synology, QNAP hoặc tự dựng hệ thống TrueNAS tại nhà. Cảm giác làm chủ hàng chục terabyte dữ liệu riêng tư, thoát khỏi cảnh phải trả tiền thuê dung lượng đám mây hàng tháng cho Google Drive hay iCloud mang lại sự tự do tuyệt vời. Để tiện xem lại video kỷ niệm gia đình hay tải tài liệu khi đi công tác xa, bạn vào router nhà mạng bật tính năng mở cổng (Port Forwarding) hoặc kích hoạt UPnP mở toang cổng 5000, 5001 ra ngoài mạng internet.

Chỉ hai tháng sau, khi đang ngồi ở quán cà phê mở ứng dụng truy cập vào kho ảnh, bạn chết lặng khi thấy toàn bộ tệp tin hình ảnh, hợp đồng và bản sao lưu đều bị đổi đuôi thành .deadbolt hoặc .locked. Kèm theo đó là một bức thư điện tử đòi tiền chuộc 0,5 Bitcoin (tương đương hàng trăm triệu đồng) để nhận chìa khóa giải mã. Toàn bộ ký ức mười năm của gia đình và công sức làm việc đã biến thành mồi ngon cho các nhóm tội phạm mạng tống tiền.

Mở cổng mạng cho NAS chính là sai lầm chết người biến thiết bị lưu trữ vốn được xem là rất an toàn thành cánh cửa mở toang đón tin tặc vào nhà.

Giải mã cạm bẫy kỹ thuật: Vì sao mở port router khiến ổ NAS sập bẫy?

Nhiều người nghĩ rằng thiết bị của mình là vô danh giữa hàng tỷ thiết bị trên mạng toàn cầu và sẽ không ai thèm để ý. Tuy nhiên, không gian mạng không vận hành bằng mắt người, mà bằng các cỗ máy quét tự động hoạt động 24/7.

+-------------------------------------------------------------+
|               HIỂM HOẠ MỞ CỔNG ROUTER CHO Ổ NAS              |
|                                                             |
| [ Công cụ Shodan / Censys ] ---> [ Quét tự động IPv4 toàn cầu|
|                                           |                 |
|                                           v                 |
| [ Cổng 5000/5001 mở toang ] <--- [ Định vị thiết bị NAS bạn]|
|                                           |                 |
|                                           v                 |
| [ Khai thác Zero-Day Web UI ] ---> [ Thực thi mã độc tống tiền]
|                                           |                 |
|                                           v                 |
| [ MÃ HOÁ TOÀN BỘ DỮ LIỆU ] <--- [ Tống tiền chuộc Bitcoin ] |
+-------------------------------------------------------------+

1. Máy quét Shodan và Censys định vị thiết bị trong 15 phút

Các công cụ tìm kiếm thiết bị kết nối mạng như Shodan liên tục quét toàn bộ dải địa chỉ IPv4 toàn cầu. Ngay khi bạn mở cổng 5000 (giao diện HTTP của Synology) hoặc 8080 (giao diện QNAP), máy quét sẽ tự động ghi lại phiên bản hệ điều hành, địa chỉ IP thực tế và nhà mạng của bạn, lập chỉ mục công khai cho bất kỳ ai tìm kiếm.

2. Lỗ hổng Zero-Day trên giao diện web quản trị

Các giao diện web quản trị NAS rất phức tạp, chứa hàng nghìn dòng mã xử lý tệp tin và truyền phát đa phương tiện. Tội phạm mạng chỉ cần tìm ra một lỗ hổng thực thi mã từ xa (RCE) chưa được vá, sau đó dùng botnet tự động bắn mã khai thác vào hàng chục nghìn địa chỉ IP có cổng NAS đang mở.

3. Cạm bẫy từ tính năng UPnP và dịch vụ chuyển tiếp đám mây của hãng

Nhiều người dùng thậm chí không hề biết mình đã mở cổng router. Tính năng UPnP (Universal Plug and Play) trên router gia đình cho phép phần mềm NAS tự ý ra lệnh mở cổng chuyển tiếp mà không cần người dùng xác nhận. Bên cạnh đó, các dịch vụ máy chủ trung gian của nhà sản xuất (như QuickConnect) đôi khi cũng trở thành điểm nghẽn chịu các cuộc tấn công từ chối dịch vụ.

Cẩm nang thiết lập kiến trúc truy cập an toàn từ xa cho ổ NAS

Để bảo vệ kho lưu trữ gia đình mà vẫn thoải mái truy cập tệp tin tốc độ cao từ bất kỳ đâu, hãy thiết lập ngay mô hình bảo mật Zero Trust:

  1. Đóng toàn bộ các cổng chuyển tiếp trên router: Truy cập trang quản trị modem Wi-Fi gia đình, xóa bỏ hoàn toàn mọi quy tắc Port Forwarding trỏ về địa chỉ IP của thiết bị NAS.
  2. Tắt tính năng UPnP vĩnh viễn: Tắt giao thức UPnP trên cả router và trong phần cài đặt mạng của NAS để ngăn chặn việc tự động mở cổng ngầm.
  3. Kích hoạt xác thực 2 yếu tố (2FA) và tắt tài khoản Admin mặc định: Tạo một tài khoản quản trị mới với tên ngẫu nhiên, vô hiệu hóa tài khoản admin gốc và bắt buộc đăng nhập bằng mã OTP.
  4. Không bao giờ đưa giao diện quản trị ra internet công cộng: Thay vì mở cổng, hãy thiết lập một đường hầm mạng riêng ảo mã hoá độc lập để kết nối an toàn từ xa.

Bảo vệ hạ tầng lưu trữ gia đình cùng VPNRice

Để truy cập kho tài liệu cá nhân từ xa với độ trễ tối thiểu mà không cần mở bất kỳ cổng mạng nguy hiểm nào trên router, VPNRice mang đến giải pháp kết nối mạng riêng mã hoá hoàn hảo.

Được xây dựng trên giao thức tối tân RiceGuard, VPNRice cho phép bạn định tuyến an toàn toàn bộ lưu lượng truy cập từ điện thoại hoặc máy tính xách tay về mạng nội bộ gia đình qua đường hầm mã hoá ChaCha20-Poly1305. Thiết bị NAS của bạn được ẩn náu hoàn toàn sau tường lửa gia đình, vô hình trước mọi cỗ máy quét của tin tặc hay mã độc tống tiền Shodan.

Trước khi truy cập kho dữ liệu, bạn có thể sử dụng công cụ kiểm tra IP và tra cứu IP để đảm bảo địa chỉ kết nối của mình luôn được che giấu cẩn mật. Đồng thời, cơ chế chống rò rỉ DNS tự động giữ cho mọi thao tác truyền file diễn ra an toàn.

Bảo vệ kho dữ liệu quý giá của gia đình bạn ngay hôm nay bằng cách tải ứng dụng:

Tải VPNRice