NAS 安全維護怎麼做？從近期勒索事件看防入侵、備份與加密後自救
NAS 裡的照片、文件突然被加密，問題可能來自系統漏洞、帳號外洩，也可能是連線電腦中毒。本文從近期原廠警訊出發，整理家庭與小型辦公室可落實的安全維護方法，包括關閉不必要的外網入口、更新套件、保護帳號、備份還原演練，以及發現異常時的處理順序。
本文導覽
NAS 是接在網路上的儲存設備，許多人用它保存家庭照片、工作文件與電腦備份。當所有重要資料集中在同一台機器，一次入侵就可能同時影響日常檔案與備份。
對仍正常運作的 NAS，現在最值得先做的三件事是：減少網際網路直接存取的入口、確認系統與套件更新、準備攻擊者碰不到的備份。若已出現勒索訊息或大量異常改檔，請先看本文的事件處理段落。QNAP 防勒索維護清單
最近的警訊，有哪些已經查證？
Synology 在 2026 年 10 月 29 日發布公告，表示攻擊者正利用一個已於 2024 年 12 月修補的漏洞，攻擊使用舊版 DSM 的設備，企圖加密資料並勒索。原廠要求使用受影響版本的使用者更新 DSM。Synology 官方公告
這說明已修補的漏洞，仍可能因設備長期沒有更新而造成損害。但不能據此認定每一位網友遇到的事件都出於相同漏洞，也不能只靠副檔名就判斷入侵原因。
查版本時，請比對完整版本與更新編號，而不只看「DSM 7」。公告指向的 Synology-SA-24:20 列有各分支的修補門檻；該門檻僅針對這份公告，不代表已涵蓋後續漏洞。維護時仍應確認機型目前受支援的最新安全版本。
檔案被加密，不一定代表 NAS 本身被攻破
QNAP 的官方說明區分兩種情況：惡意程式可能直接在 NAS 上執行，也可能在 Windows 電腦上執行，再加密電腦有權寫入的 NAS 檔案。QNAP 事件說明
因此，調查時要同時檢查 NAS、帳號與曾連線的電腦。NAS 後台還能登入，或系統已更新，都不足以單獨排除風險。
第一層：減少直接暴露在外網的入口
檢查路由器的連接埠轉送、DMZ，以及會自動開孔的 UPnP；也要確認 IPv6 防火牆沒有讓 NAS 服務直接對外開放。管理頁面與 SMB 檔案共享服務，不應為了方便而直接開給整個網際網路。QNAP 網路防護清單
需要遠端使用時，可評估持續更新、限制使用者資格的 VPN，或原廠提供的受控連線方式。VPN 本身也需要更新與帳號保護；設定完成後，應確認只有核准的人能連線。QNAP 遠端存取建議
HTTPS 能保護傳輸內容，卻不會修補系統漏洞；單純改成冷門連接埠，也不能代替存取限制。Synology 安全設定說明
第二層：更新、帳號與共享資料夾權限
系統更新之外，也要列出已安裝的相簿、影音、同步與備份套件，移除不再使用的服務。套件同樣可能成為攻擊入口。QNAP 維護清單
帳號維護可以從下列項目開始：
- 使用長且不重複的密碼，啟用多因素驗證（MFA）。
- 確認替代管理員帳號能正常使用後，停用預設管理員帳號。
- 開啟登入失敗封鎖與安全通知，定期檢查不明登入。
- 不使用的 SSH、Telnet 等管理服務予以關閉。
上述做法可參考 Synology 官方安全建議。MFA 主要保護支援它的登入流程，不能當成所有協定或漏洞利用的防護。
本站另建議依工作需要分配共享資料夾權限：只需看照片的人給唯讀權限，日常帳號不持有備份管理權限，離職或不再使用的帳號立即停用。驗收時可以反問：「如果這個帳號或這台電腦出事，能修改多少資料？」
第三層：RAID、快照與備份各做不同的事
| 機制 | 主要用途 | 需要注意的限制 |
|---|---|---|
| RAID | 依配置容忍部分硬碟故障 | 檔案遭加密或刪除時，通常也會反映到陣列 |
| 快照 | 保留某個時間點的資料狀態 | 同機快照仍依賴設備與權限安全 |
| 同步 | 讓不同位置的檔案保持一致 | 可能把刪除或加密結果同步過去 |
| 獨立備份 | 在資料損壞後提供還原來源 | 必須保留可用版本，並實際測試還原 |
Synology 的防勒索方案強調多版本備份、快照與異地副本搭配使用；支援不可變快照的機型，也可設定保留期間，降低備份遭竄改的風險。功能支援取決於機型與系統版本。Synology 防勒索說明
實務上可採 3-2-1 原則：三份資料、兩種儲存媒介、一份放異地，並另外確認至少一份離線或具備適當不可變保護。備份完成後持續連著、且可由同一管理員刪除的外接硬碟，隔離效果有限。QNAP 備份建議
我們建議每月把幾個重要檔案還原到另一個資料夾，實際開啟確認。備份排程顯示成功，是檢查的起點；能還原所需版本，才是驗收結果。
如果已經出現勒索訊息，先做什麼？
以下順序依政府事件應變指引整理，遇到企業資料或不熟悉的設備時，應由 IT、原廠或資安人員協助：
- 先隔離網路。 中斷受影響 NAS 與可疑電腦的有線、無線連線，保護其他設備與備份。僅切斷對外網路，可能仍留下內網傳播路徑。
- 保留現況與證據。 記錄發現時間、勒索訊息、異常副檔名與可取得的日誌。先不要格式化、恢復原廠或刪除可疑檔案。避免任意重開機；若無法隔離且損害持續，才評估關機止損，並理解可能失去揮發性證據。
- 保護乾淨備份。 暫停可能覆寫正常版本的同步或備份作業，不要把唯一的離線備份接回可疑環境。
- 確認範圍，再清除與重建。 從可信任裝置處理受影響憑證與工作階段，依調查結果修補或重建；確認環境乾淨後，再還原已驗證的備份。
隔離與證據保存依據 CISA 等機構的事件應變指引；清除、重建與還原原則可參考 加拿大網路安全中心。更新軟體不等於清除既有入侵；還原前也要處理可能已遭竊的帳號。
付款不能保證拿回檔案，也不能保證外流資料被刪除。是否有解密工具，須依勒索家族與版本確認；不要直接在唯一原始資料上試跑來路不明的工具。加拿大網路安全中心風險說明
把安全維護排進行事曆
以下是本站建議的維護節奏；遇到原廠緊急安全公告時，應提前處理：
| 時間 | 建議檢查 |
|---|---|
| 每週 | 確認更新與安全公告、異常登入、備份失敗通知 |
| 每月 | 還原抽查、清理不用帳號、檢查共享權限與外網設定 |
| 每季 | 演練主要 NAS 無法使用時，如何取得異地資料與重建服務 |
每次維護可以留下一筆簡單紀錄：檢查日期、系統版本、備份位置、上次成功還原時間，以及尚未完成的事項。這比只記得「有開備份」更能幫助自己或接手的人判斷現況。
來源與查閱日期
- Synology：2026 年 10 月 29 日勒索攻擊警訊
- Synology-SA-24:20 修補公告
- QNAP：2026 NAS 防勒索維護清單
- Synology：安全設定建議
- Synology：防勒索與備份
- CISA、MS-ISAC、NSA、FBI：StopRansomware Guide
- 加拿大網路安全中心：勒索軟體預防與復原
- 查閱日期：2026 年 11 月 12 日。本文為一般維護指南，未檢測讀者設備，也未推定個別事件的入侵原因。