身代金

Question

ちょっとドギツイ題名ですが、要するにランサムウェアに代表されるウイルスアタックについて教えてください。

2年前にQNAPのNASを購入したものの、あまり運用していなかったのですが、そろそろ本格的に使おうと思い色々調べていたところ、この問題を知ることとなりました。

特にQNAPのNASをターゲットに攻撃する、いわゆるクラッカーによる攻撃が問題化されているとのことで、せっかくバックアップしたデータをすべてランサムウェアで無しの如くにされたら意味がないどころか、逆効果になると思い、ネットに繋がっているNASが良いのか、そもそも物理的にHDDという機器に逃した方がいいのか、分からなくなってきました。

今まで気にしていなかったというか、不知の部分でしたが、NASはある意味パソコンのようにネットに繋がった独立機器である以上、こういうウイルスに晒されるわけで、例えばMSやApple社のセキュリティが通えず（一般のセキュリティソフトも含む）、危険が増すのみののでは？とNASを手放した方がいいのかと悩んでいます。

現在は、QNAPも対策を施しているようですが、結局こういうものはイタチごっこで、QNAPのセキュリティをかい潜る新たなランサムウェアが仕込まれたら、また同じ目に合うのでは？と不安になっています。

Youtubeを観てみても、そこを指摘している人もいれば、NAS最高！という人もいて、そういう人はどうやってランサムウェアなどのセキュリティー対策しているのだろう？と疑問も湧いてきました。

この点について、ご教示いただければ幸いです。
よろしくお願い申しいたします。

ムアディブ · Accepted Answer

ざざっとQNAP関連の事件を見てますけど、素人さんが使うには、どうも設計が自由過ぎるようですね。
繰り返しやられてるのにちっともなくならないのは、隙だらけってことと解釈していいかと。
もう「QNAPは甘いぜwww」ってことで狙われていると思っていいです。
狙われるととても厄介、、、

Unixerなら「サーバー要塞化」は20～30年前から常識なんですけど、QNAPはそれを知っている人が設定しないと穴だらけになりそうです。
しかも、HGWと連携して穴開けちゃう仕様のようなので、素人さんが使うのはお勧めしないです。
つまり、「便利」なのは進歩したんじゃなくて昔から繰り返されていて、ヤメロと言われているミスを何度も繰り返しているだけかと。

>Youtubeを観てみても、そこを指摘している人もいれば、NAS最高！という人もいて

よく言われることですけど、、、「ユーザーにとって安直で便利」 = 「侵入者にとっても楽で便利」です。
頭が緩ければ、クルマに乗って幾らでも腕に見合わないスピードだして同乗者全員死亡とか平気でできますよね。でも「わーい、楽しいぜぇ」ってyoutubeに出すチャンスはあるわけです。

同じく緩い知識でやったら、いくらでもセキュリティを緩めることはできます。
セキュリティは、いくら緩くしても、被害に遭ってない人、あるいは遭ってても気が付かない人というのはいます。たまたま運がいいか、痛みを感じないだけ。

そもそも家にある現金の数を勘定してなければ盗まれたかどうかすらわかりませんよね。「わーい」の中にはそういう人たちもいるってことです。

逆に言うと、そういう緩めの人たちが必要なだけ居るから、営利犯罪として成り立っているわけです。

どうしても外からアクセスしなきゃいけないことなんて個人のレベルでそうないと思うんですけど、やるとしたら、、、
ひとつは、監視してないHGWなんかでポート開けちゃいけないってことです。
つまり、アウトバウンドベースでデータ中継するサーバを経由してアクセスする方式で、そのサーバがプロの手によって、名誉を掛けてしっかり管理/監視されていて認証に抜けが無い (多要素認証など) ことが条件になります。
そこまでしてあれば、要はGMailとかと同じなので、GMailが心配になるような事態にならなきゃ同等に扱って良い訳です。

あるいは、単にバックアップ取るのに外部からアクセスできるような抜けのある設定をしなきゃいいだけの話です。

外部公開せず、PC経由で家庭内LANに侵入されたときの話をしているなら、直接ドライブとしてマウントしていると簡単にマルウェアに見つかってしまうので、NASの方がまだマシじゃないかとは思うけど、そんなことより、心配ならバックアップを取り終わったら外しておくことです。
SDG's的な観点からしても、他人とファイル共有するわけじゃないのにNASを設置すること自体が電気の無駄遣いだし、トンベリちゃん怒られます。

おかめ@桓武平氏 · Accepted Answer

＞良い加減さん・adminのアカウントは、「無効」に設定にして下さい。その代わりにAdministratorに属するユーザーを作成し、運用して下さい。・myQNAPcloudの自動ルーター構成で「UPnP ポートフォアディングを有効にする」で行わず、 最寄りのGWのルーターでポートフォアディング(ポート解放)の設定を行なって下さい。・更に最寄りのGWのルーターのUPnPの設定も「無効」に設定して下さい。・HBS Hybrid Backup Syncで使うポート(Rsync：873/RTRR：8899)は、外部方向には開かない方がいいです。もしリモートで使いたい場合は、VPN接続で行うといいかと思います。

たく0220 · Accepted Answer

＞良い加減さん＞ランサムウェアの脅威に鈍感な人は、かなり危ないのでは？とも思っています。最新の脆弱性の情報もありますので参考にしてください。もしくは先に書いたように「セキュリティ勧告」のメールを受信してください。Security Advisories | QNAPhttps://www.qnap.com/ja-jp/security-advisories/ファームウェアの更新状況は下記でも確認できますので参考にしてください。QTS 5.0.0.1932 build 20220129 | リリースノート | QNAPhttps://www.qnap.com/ja-jp/release-notes/qts/5.0.0.1932/20220129インターネットに公開するという事は多かれ少なかれリスクが伴うものです。鈍感な方には、少し気にしてくださいとしかアドバイスしようがないです ^^;＞もう一つお聞きしたいのですが、すべてのNASメーカーのOSはLinuxなのでしょうか。＞もしそうなら、MSなどのWindows登録料がいらない安価で済むため、Linuxで動かしているのが理由でしょうか。法人向けを含めるなら、すべてがLinuxではありません。LinuxがベースとなっているのはOSS(オープンソースソフトウェア)を流用しているので、開発がしやすいのでしょうね。ライセンス料の件もありますがエントリー向けのNASだとスペックの低いSoC(ARM CPU)が使われてますので、そもそもWindowsに対応して無いという理由もあります。＞そうなると、素人がYoutubeなどの「最高！」みたいな記事で簡単に導入するのは危険な気がしますね。＞間違った解釈であればすみません。はい、彼らは自分の感想を言ってるだけです。そのメーカーの営業さんだったり専門家の立場として言ってるのではないです…あくまでも情報であって、それをどの様に扱うかは受け取った方が判断すべきで、鵜呑みにせず自分でも調べるのはネットリテラシーの基本的な事だと思います。（理解されてるとは思いますが）＞クラウドストレージ代もバカにならないため、不便を取るか（外付HDD）、しっかりと対策を練って便利なNASにするか悩みどころですね ^^;そうですね。クラウドストレージもそれなりに維持管理に費用をかけていますのでその点を人任せにして楽をお金で買うか、ご自身で管理する苦労をするかの判断は難しいところですね。クラッカーがいなくならない限り、仰られてたようにイタチごっこは続きます。個人的には、ユーザさんさんが貼られたリンク＞https://blog.qnap.com/ja/nas-internet-connect-ja/にあるようにインターネットからのアクセスはNAS直でなくルーターや他の機器にVPNなどでさせてワンクッションおくのが無難だとは思っています。ただ、ルーターのファームウェアもLinuxを使ってる所は多いですのでご注意ください。また十分な管理が出来るとも限りません。これだけやっとけば大丈夫という事はないので、とりあえず方向性決まったら、またご相談ください。蛇足: 過去にはSynoLockerなんてのもありましたなぁ…

tozanaki · Answer

QNAPが狙われているのは、インターネットに対してQNAPを晒して運用するケースが多いから（日本では恐らく少ない）だと思います。
そして、NAS は一度設置・設定したらそのまま放置される運用が多いので、脆弱性に対して無防備になるからだと思います。

「外からNASにアクセスするケースは少ない」とおっしゃる方もいらっしゃるのですが、外出先からNASにアクセスすることを勧めて売っています。
https://www.tekwind.co.jp/QNA/specials/entry_396.php

NASの設定と合わせてルーターの設定も自身で管理できる人だけがNASをソト出しで使っているわけではなく、「動いた！便利！」というだけで使っている人もいます。
QNAPが狙われているのは、NASを買ってきて繋いだら動いた！というレベルの人達が多く使用しているからだろうと思っています。

したがって、おのおのの設定（使い方）ごとにリスクを知って、リスク回避や緩和ができる手段があるか？許容できる程度のリスクに抑えることが出来るか？を一つ一つ検討することになるのだと思います。

* QNAPそのものの脆弱性が狙われて、NASを乗っ取られる
␣␣* https://www.bleepingcomputer.com/news/security/qlocker-ransomware-returns-to-target-qnap-nas-devices-worldwide/
␣␣* https://www.bleepingcomputer.com/news/security/qnap-confirms-qlocker-ransomware-used-hbs-backdoor-account/
␣␣* 対策)
␣␣␣␣* ファームウェアの自動更新を有効化する。
␣␣␣␣* 定期的（最低1か月に1回）にNASの管理画面にログインして、アップデート通知を確認する。
* NAS の認証情報（パスワード設定）を見直す
␣␣* デフォルトの管理者アカウントでのログインおよび接続を無効化して、利用者自身で新しい管理者アカウントを作成する。
␣␣* パスワードは長くてランダムな文字列にする。
* NASのネットワーク設定を見直す
␣␣* LAN内のみの利用であっても、NASが提供するサービスを制限する。例えば、Sambaのみ有効にして、AFP(macOS用)やNFS(Linux用)やWebDAV(HTTP用)のNASプロトコルを無効化する。
␣␣* NAS機能以外の不要な管理用プロトコルを無効化する。例えば、telnet や ssh や snmp や Upnp を無効化する。
␣␣* （ネットワーク）セキュリティ設定を安全側にする。
␣␣␣␣* 「許可/拒否リスト」をリストからの接続だけに許可（ホワイトリスト化）する。
␣␣␣␣* 「IPアクセス保護」を有効化し、認証失敗があったらブロックする。
␣␣␣␣* 「アカウントアクセス保護」上記同様に厳しめの閾値に設定する。
␣␣␣␣* 「パスワードポリシー」利用者の都合に応じて設定する。
* NASを使用するコンピュータが乗っ取られないようにする
␣␣* Windows 10 を使用していれば、Windows Defender を無効化したりしない。
␣␣* スマホやPCに限らず、公式ストア以外のアプリをインストールしない。
␣␣* 野良アプリや Jailブレークなどをする場合は、NASや他のPCなどが接続しているネットワークを使用しない。分離されたネットワーク環境で怪しいことを楽しみましょう。

書込番号：24601332

2点

けーるきーる · Answer

＞物理的にHDDという機器に逃した方がいいのかNASの中身もHDDですけどね。・バックアップするときだけつなぐ・バックアップを複数組つくる・気にしない・やられたときはあきらめる

ムアディブ · Answer

経験上 (リアル犯罪じゃないですよ) 半部くらいの人が身代金を払います。これは払うと決めている人、払わないと決めているのどちらから観ても意外な数値だと思いますけど、世の中そんなもんってことで。

S_DDS · Answer

バックアップなら頻繁に複数とっておくものです。HDDやBDなどにも。絶対安心なんてないのですから。

ユーザさん · Answer

QNAPはデフォルトで設定を行うとNASをインターネットに無防備にさらします。更に搭載するアプリケーションの開発体制が脆弱で想像を絶するセキュリティ上の問題も発生しています。このためQNAPをインターネットから利用する場合には、・VPNの利用（QVPNや他社が提供するVPNサービスを除く）または・myQNAPCloud Link（myQNAPcloudとは別のもの）の利用のいずれかを行う必要があります。他にもQNAPにはいろいろな対策を必要がありますが面倒なので割愛します。https://www.shodan.io/search?query=QNAP

おかめ@桓武平氏 · Answer

＞良い加減さんポートフォアディングの管理表を表計算ソフトなどにまとめて置くといいかと思います。

たく0220 · Answer

＞良い加減さんとりあえず、情報のみ製品セキュリティニュース | QNAPhttps://www.qnap.com/ja-jp/security-news/2022この辺を定期的に確認するか、右側の「Subscribe Newsletter」のリンクから「セキュリティ勧告」を選んで登録すれば脆弱性の情報とかメールで来ますので、対処が間に合う場合もあります。現在のファームウエア(QTS)ではデフォルトの設定では月１回の自動更新が有効になっていると思います。Appも同じく自動更新が有効になっていると思います。NAS セキュリティを向上するためのベストプラクティスは何ですか？ | QNAPhttps://www.qnap.com/ja-jp/how-to/faq/article/nas-%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%82%92%E5%90%91%E4%B8%8A%E3%81%99%E3%82%8B%E3%81%9F%E3%82%81%E3%81%AE%E3%83%99%E3%82%B9%E3%83%88%E3%83%97%E3%83%A9%E3%82%AF%E3%83%86%E3%82%A3%E3%82%B9%E3%81%AF%E4%BD%95%E3%81%A7%E3%81%99%E3%81%8B他の方々と内容かぶりますが、上記も参考にしてください。２段階(２要素)認証にしてなかったら、VPNぐらいは考えた方がいいとは思います(遅くなると思いますが…)。WannaCryのようにPCからSMBサーバーを侵食するケースもあるので、この手の問題はNASやQNAPだけでなくインターネットに繋がる機器全ての要因で起こり得るので、QNAPだけと視野を狭めないで下さいね。自分はQVPN(OpenVPN)用のポートだけ開いてますが、今のところは平穏ですね。今のところは…管理が手間なのは仕方がない事ですね、NASかUSB-HDDとかにされるかは、単純に運用しやすいと感じた方でいいんじゃないかと思います。

『身代金』のクチコミ掲示板

TS-251D-2G

『身代金』のクチコミ掲示板

この製品の最安価格を見る

新着ピックアップリスト

『身代金』のクチコミ掲示板

TS-251D-2G

『身代金』 のクチコミ掲示板

この製品の最安価格を見る

新着ピックアップリスト

『身代金』のクチコミ掲示板