Abrir en el router sólo los puertos absolutamente necesarios

En el router solamente debemos abrir los puertos que realmente utilicemos, por ejemplo, el servidor FTP/FTPES para acceder de forma remota, no obstante, si quieres la mejor seguridad, abre solamente el puerto de tu servidor VPN en el NAS, y posteriormente accedes al servidor FTP del servidor. De esta forma, solamente tendrás abierto el puerto de la VPN donde se necesitan usar certificados digitales (OpenVPN) para la conexión.

Es fundamental que nuestro router esté bien configurado, no debemos nunca abrir la DMZ a un servidor NAS, porque esto permitirá realizar un reenvío de puertos a todos los puertos excepto los que están previamente abiertos a otros equipos. Solamente debemos abrir los puertos necesarios en el router, es decir, si vamos a acceder vía FTP/FTPES de forma remota a nuestro NAS, deberemos abrir el puerto correspondiente. Si vas a acceder solamente vía SSH o SFTP, entonces abriremos este puerto y ningún otro.

Si quieres mejorar al máximo la seguridad de tu servidor NAS, la mejor opción es abrir únicamente el puerto del servidor VPN al NAS, entonces nosotros nos conectaremos vía VPN a este servidor NAS, y posteriormente accederemos a sus archivos vía Samba, FTP o cualquier otro protocolo, pero siempre levantando un túnel cifrado y autenticado entre el origen (nosotros) y el destino (el servidor NAS). Si haces esto, solamente deberás abrir un puerto en el router y permitir acceso vía VPN, para acceder de manera segura de forma remota.

El protocolo UPnP (Universal Plug and Play) permite que las aplicaciones de ciertos dispositivos conectados a la red local, le digan al router que le abran un determinado puerto (o varios puertos) para que sean accesibles desde el exterior. Este protocolo es útil para usuarios con pocos conocimientos que no sepan abrir puertos manualmente en el router, pero también trae muchos problemas, porque no sabremos qué puertos están abriendo exactamente (a no ser que nos metamos en el router, estado de UPnP).

Cámaras IP, NAS y otros dispositivos en nuestro hogar, pueden hacer uso de este protocolo para abrir puertos de forma autónoma en el router, lo que es un riesgo para la seguridad. Lo mejor que puedes hacer es desactivar este protocolo en tu router, debes meterte en la configuración vía web del router, en la sección de NAT tendrás el UPnP y te permitirá desactivarlo. Dependiendo del modelo de router que tengas, esta opción de configuración estará en un lugar u otro. En nuestro caso, estamos usando pfSense como router principal, y se encuentra en «Services / UPnP», tal y como podéis ver, lo tenemos deshabilitado de manera predeterminada.

Desactivar UPnP en el NAS

Es posible que tu router no tenga la opción de desactivar el UPnP, entonces deberíamos desactivarlo en nuestro servidor NAS, para que el propio NAS no abra ningún puerto vía UPnP en el router, de esta forma, solamente abriremos los puertos que nosotros queramos en la típica sección de «Port Forwarding» o «Reenvío de puertos».

Para desactivarlo, nos vamos a la aplicación «myQNAPcloud» que se encuentra instalada de forma predeterminada en nuestro NAS, en la sección de «Configuración automática del enrutador» procedemos a deseleccionar la opción de «Habilitar autenticación de puertos UPnP» y aplicamos cambios.

Cambiar los puertos por defecto de los servicios (no sirve de mucho)

Si vas a hacer uso del servidor FTP desde el exterior, es recomendable que cambies el típico puerto TCP 21 por cualquier otro. Los ciberdelincuentes siempre programan bots para escanear servidores FTP por todo Internet, haciendo uso del puerto 21 que es el de por defecto. Es muy recomendable utilizar otro puerto para el FTP, como el 54356 por ejemplo, o cualquier otro, pero tampoco debemos usar los típicos 2121.

Lo mismo ocurre con el servidor SSH, si queremos acceder desde el exterior, es recomendable que no utilices los puertos 22 ni tampoco el típico 2222, los ciberdelincuentes siempre buscan este tipo de puertos para realizar intentos de acceso a nuestro servidor, e intentar atacarlo.

Por último, si haces uso del servidor OpenVPN, nuestra recomendación es que no utilices el puerto 1194 UDP que tenemos habilitado de manera predeterminada, utiliza cualquier otro puerto para evitar posibles ataques de denegación de servicio e intentos de acceso. Es lo que se conoce como «seguridad por oscuridad», es decir, estamos «escondiendo» el puerto a la vista de todos, por hacer uso de un puerto que no es el predeterminado.

Usar contraseñas robustas

Usar contraseñas complejas y robustas es algo fundamental, sobre todo para los usuarios con permisos de administrador. Si un atacante descubre nuestra contraseña de administración, será el final, porque tendrá acceso a todo el servidor NAS, servicios e incluso podría vulnerar fácilmente la red local donde esté conectada el servidor NAS. Es fundamental proteger las diferentes cuentas de usuario con una buena contraseña.

En la sección «Panel de control / Seguridad / Política de contraseñas» podéis forzar a los diferentes usuarios a utilizar contraseñas complejas, con unas determinadas letras, dígitos y caracteres especiales, además, también se puede poner una longitud mínima y otras opciones, como que la contraseña caduque tras unos determinados días o meses, ideal para ir renovándola continuamente.

Mantener actualizado firmware del NAS

QNAP es uno de los fabricantes que más actualizaciones lanzan a todos los servidores NAS, tanto de gama alta como los de gama baja. Mantener actualizado a la última versión de QuTS o QuTS Hero es fundamental para mantener la seguridad de nuestro servidor. Si no actualizamos el servidor, podríamos ser vulnerables a ataques e incluso que nuestro NAS se infecte con diferentes tipos de malware.

Para comprobar si tenemos la última actualización en nuestro NAS, nos tenemos que ir a la sección de «Panel de control / Sistema / Actualización del firmware».

Comprobar los logs de acceso con QuLog Center

En el sistema operativo QuTS y QuTS Hero podremos instalar un completo software para la gestión y visualización de los logs o registros del servidor NAS. Si instalamos QuLog Center desde el AppCenter, podremos ver en «Dispositivo Local / Registro de acceso al sistema» todos los intentos de acceso que se han realizado al servidor NAS, con el objetivo de mantener todo bajo control. Un detalle importante, es que podremos utilizar el buscador para ver los errores de acceso, e incluso los errores o advertencias que nos brinda QuLog Center.

Centro de notificaciones: gestiona los avisos por email o push

QNAP incorpora un completo centro de notificaciones donde saldrán todos los registros y eventos que ocurran en el servidor NAS. Desde aquí podremos ver todos los registros de eventos de sistema, pero, además, podremos configurar diferentes notificaciones por evento o notificaciones de alertas, además, podremos indicar una dirección de correo electrónico, o que directamente lo recibamos con una notificación push en nuestro smartphone, un SMS o que utilice mensajería instantánea (Skype y Facebook Messenger).

Malware Remover: comprueba y elimina el malware

Debido a que los cibercriminales han creado diferentes herramientas para infectar servidores NAS de QNAP, el fabricante tiene actualmente una herramienta llamada «Malware Remover» que nos permitirá hacer un escaneo bajo demanda o programado a todo el servidor NAS, de esta forma, podremos asegurarnos que estamos libre de malware en nuestro equipo.

Activa el firewall básico de QNAP: protección de acceso por IP y cuenta

QNAP cuenta de manera predeterminada con un firewall muy básico que nos permitirá configurar quién queremos que se conecte al servidor NAS. Todas las configuraciones de seguridad las tenemos disponibles en la sección de «Panel de control / Seguridad«. Tendremos tres opciones principalmente:

• Permitir todas las conexiones: esto hace que se permita cualquier conexión con IP de origen. Esta es la opción predeterminada, para que nosotros podamos acceder al NAS desde cualquier sitio.
• Denegar conexiones de la lista: permite todas las conexiones excepto las que están en el listado.
• Solo permitir conexiones de la lista: permite todas las conexiones de la lista, el resto de conexiones se deniegan.

Lo más seguro y recomendable es «solo permitir conexiones de la lista», pero no es lo más usable, porque si queremos acceder remotamente desde el WiFi de un familiar o vía 4G, directamente no podremos a no ser que hayamos añadido la dirección IP con anterioridad.

QNAP también dispone de un sistema que nos protege frente a los ataques de fuerza bruta o diccionario. Este sistema es capaz de bloquear de forma automática las direcciones IP cuando intentan realizar demasiados intentos de acceso, haciendo uso de diferentes protocolos como SSH, Telnet, HTTP o HTTPS, FTP, Samba etc. De esta forma, estaremos bloqueando intentos de inicio de sesión ilegítimos al servidor NAS.

Podremos elegir qué servicios proteger, y la configuración de las reglas. Definiremos un determinado tiempo donde haya determinados intentos de conexión fallidos, y posteriormente configuraremos cuando «caduca» esa dirección IP y se libera del bloqueo. En nuestro caso, hemos configurado 1 minuto con 5 intentos de conexión, y que esté bloqueado durante 1 día entero. Posteriormente se reestablece la dirección IP para que se pueda usar nuevamente.

QNAP también nos permite deshabilitar cuentas si se producen demasiados intentos de inicio de sesión fallidos. Imaginemos que tenemos una cuenta sin permisos de administración, nos interesa protegerla frente a ataques de fuerza bruta o diccionario, con el objetivo de que nadie pueda usarla. Este menú sirve justamente para esto. Un detalle muy importante, es que no podremos usar esto para bloquear a los usuarios que están en el grupo de administradores, algo lógico, porque un atacante podría intentar acceder con nuestra cuenta, y el NAS nos bloquearía a nosotros mismos.

Tendremos aquí dos opciones:

• Bloquear a todos los usuarios del grupo que no sean admins
• Bloquear los usuarios que no sean admin

Desactivar el usuario «admin»

Cuando un cibercriminal quiere intentar entrar en un sistema, siempre utiliza dos nombres de usuario muy típicos: root y admin. Ambos nombres de usuario son habituales en servidores NAS con sistema operativo basado en Linux. El objetivo de desactivar el usuario «admin» es que no pueda acceder jamás utilizando este nombre de usuario, aunque adivine la contraseña.

Para hacer esto, debemos seguir los siguientes pasos:

1. Inicias sesión con el usuario «admin» de siempre
2. Crear un nuevo usuario con otro nombre, y le añades al grupo de administradores. Esto se hace en «Panel de control / Privilegio / Usuarios».

Instalar QuFirewall y configura reglas fácilmente

QuFirewall es un software que podemos instalar de forma opcional en nuestro NAS QNAP, es un firewall muy fácil de utilizar que nos permite limitar el acceso al NAS solamente a direcciones IP públicas de España, denegando el resto del mundo. También permite autorizar conexiones desde determinadas reglas, y muchas otras opciones de configuración muy avanzadas.

Security Counselor: la navaja suiza para comprobar la seguridad del NAS

Por último, QNAP pone a nuestra disposición una herramienta llamada Security Counselor que podemos descargar desde AppCenter. Esta aplicación permite escanear todas las configuraciones del NAS de QNAP, y nos proporciona recomendaciones de seguridad para protegerlo lo mejor posible. Por ejemplo, nos avisará si tenemos el servidor SSH habilitado, si tenemos habilitada o no la autenticación en dos pasos para acceder al equipo, si forzamos el uso de contraseñas seguras con caducidad, y otros muchos parámetros.

Esta aplicación se integra con un antivirus que podemos instalar, con Malware Remover y también con QuFirewall del que hemos hablado antes, si no los tenemos instalados nos recomendará hacerlo, además, también veremos las diferentes comprobaciones de seguridad que realiza para tener nuestro NAS lo más protegido posible.