Cách bảo mật ổ cứng mạng NAS trong gia đình và văn phòng

NAS (Network Attached Storage, ổ cứng mạng) là chiếc "ổ cứng dùng chung" cắm vào router, lưu ảnh gia đình, tài liệu công việc, bản sao lưu. Vì chứa dữ liệu tập trung nên NAS là mục tiêu hấp dẫn của kẻ tấn công và mã độc tống tiền. Bài này liệt kê những cài đặt quan trọng nhất, áp dụng cho hầu hết các hãng.

Giao diện mỗi hãng một kiểu, nên bài gọi tên chức năng chung; bạn tìm mục tương ứng trong trang quản trị NAS của mình. Hiện catalog cửa hàng chưa có NAS, nếu cần tư vấn thiết bị bạn có thể hỏi trực tiếp cửa hàng.

Hiểu rủi ro trước khi cài đặt

Những sự cố thường gặp với NAS gồm:

• Mật khẩu quản trị yếu hoặc để mặc định, tài khoản admin bị dò mật khẩu.
• Mở cổng ra internet để xem ảnh từ xa, khiến thiết bị bị quét và tấn công.
• Không cập nhật firmware nên tồn tại lỗ hổng đã biết.
• Mã độc tống tiền mã hóa cả thư mục chia sẻ.
• Ai trong nhà cũng có quyền ghi vào mọi thư mục.

Ngoài ra nhiều người nghĩ RAID là sao lưu. RAID không phải sao lưu: nếu bạn lỡ xóa file hoặc bị mã hóa, bản ở các ổ RAID cũng mất theo.

Bước 1: Khóa tài khoản quản trị

1. Đăng nhập trang quản trị NAS qua địa chỉ nội bộ (ví dụ 192.168.1.x).
2. Tạo một tài khoản quản trị mới với tên không phải admin, mật khẩu dài và duy nhất.
3. Vô hiệu hóa hoặc đổi tên tài khoản admin, guest mặc định.
4. Chỉ dùng tài khoản quản trị để cấu hình; hằng ngày dùng tài khoản thường.

Bạn có thể lưu mật khẩu trong trình quản lý mật khẩu, xem cách dùng Bitwarden miễn phí.

Bước 2: Bật xác thực hai lớp

Trong phần bảo mật tài khoản, bật 2-step verification (Xác minh hai bước) nếu NAS hỗ trợ, dùng ứng dụng tạo mã như Google Authenticator. Lưu mã dự phòng ở nơi an toàn. Xem thêm cách dùng ứng dụng xác thực.

Bước 3: Đừng mở cổng NAS ra internet

Cách an toàn nhất là không mở port forward trực tiếp từ router tới NAS.

1. Vào router, kiểm tra mục Port Forwarding (Chuyển tiếp cổng) và xóa các quy tắc trỏ tới địa chỉ NAS.
2. Tắt UPnP trên router nếu không cần, vì thiết bị có thể tự mở cổng mà bạn không biết.
3. Tắt các dịch vụ NAS không dùng: Telnet, FTP không mã hóa, SSH nếu không cần.
4. Nếu cần truy cập từ xa, dùng VPN về mạng nhà (nhiều router và NAS hỗ trợ) thay vì mở cổng. Nếu dùng dịch vụ truy cập từ xa của hãng, hãy bật xác thực hai lớp.

Bước 4: Phân quyền theo người và thư mục

1. Tạo tài khoản riêng cho từng người, không dùng chung một tài khoản.
2. Với từng Shared folder (Thư mục chia sẻ), cấp quyền Read/Write (Đọc/Ghi), Read-only (Chỉ đọc) hoặc No access (Không truy cập) đúng nhu cầu.
3. Với tài liệu quan trọng, cho người khác chỉ đọc để mã độc trên máy họ khó mã hóa được.
4. Văn phòng nên tách thư mục theo phòng ban, xem cách phân quyền truy cập dữ liệu cho nhân viên.

Bước 5: Cập nhật và bật tường lửa

• Bật thông báo cập nhật và cài bản vá của hệ điều hành NAS và ứng dụng chạy trên đó.
• Bật Firewall (Tường lửa) của NAS, chỉ cho phép dải IP trong mạng nhà.
• Bật tính năng khóa tạm tài khoản khi nhập sai nhiều lần (thường tên là Auto Block).
• Gỡ các gói ứng dụng bạn không dùng.

Bước 6: Sao lưu và chống tống tiền

Sao lưu là lớp bảo vệ cuối cùng. Áp dụng quy tắc 3-2-1: 3 bản sao, 2 loại thiết bị khác nhau, 1 bản để ở nơi khác. Chi tiết xem quy tắc 3-2-1 cho doanh nghiệp.

1. Bật Snapshot (ảnh chụp thời điểm) nếu NAS hỗ trợ, để quay lại phiên bản trước khi bị mã hóa.
2. Sao lưu định kỳ sang một ổ rời ngắt kết nối sau khi chép xong, ví dụ ổ cứng di động SSD, hoặc sang dịch vụ lưu trữ đám mây có mã hóa.
3. Thỉnh thoảng thử khôi phục một vài file để chắc chắn bản sao dùng được.

Bước 7: Bảo vệ phần cứng và điện

Đặt NAS ở nơi khô ráo, thông thoáng. Ổ cứng đang ghi mà mất điện đột ngột có thể hỏng dữ liệu, vì thế nên cắm qua bộ lưu điện UPS nếu dùng thường xuyên. Router cũng cần được cấu hình an toàn: xem bảo mật router.

Cần hỗ trợ thêm?

Nếu muốn cấu hình NAS an toàn cho văn phòng nhỏ hoặc cần người rà soát mạng nội bộ, bạn có thể liên hệ dịch vụ IT của Cường Tech hoặc gọi hotline 0943.847.333 để được tư vấn.