Tutoriales y Manuales
Entradas Mensuales
-
►
2024
(Total:
1019
)
- ► septiembre (Total: 50 )
-
►
2023
(Total:
710
)
- ► septiembre (Total: 65 )
-
►
2022
(Total:
967
)
- ► septiembre (Total: 72 )
-
▼
2021
(Total:
730
)
- ► septiembre (Total: 56 )
-
▼
abril
(Total:
59
)
- 1,5 millones de contraseñas asociadas a correos de...
- Un argentino compró el dominio oficial de Google A...
- Vulnerabilidad en F5 BIG-IP en Kerberos Key Distri...
- Un error de Google permitía acceder a información ...
- Malware en MacOS gracias a una vulnerabilidad en G...
- Windows Defender bloqueará malware de minado de cr...
- Engañan a varios políticos europeos a través de vi...
- 250GB datos robados al Departamento de Policía Met...
- microCLAUDIA; vacuna contra el ransomware y otros ...
- Estudiante de Stanford encontró fallo en el sistem...
- ¿Qué es la MAC Address o dirección MAC Media?
- Oleada de ciberataques tumba las webs del INE, Jus...
- Actualizaciones de seguridad graves e importantes ...
- Microsoft presenta interfaz gráfica GUI de aplicac...
- Técnicas de ataque del ransomware Ryuk: víctimas; ...
- Rusia y su relación con el ransomware
- Herramientas para el análisis archivos de Microsof...
- Quanta, proveedor hardware de Apple, víctima del r...
- Mueren dos personas que circulaban en un Tesla sin...
- La Policía Española desmantela el primer taller il...
- Ataque Airstrike: bypass de BitLocker con escalada...
- Distribuyen malware en plantillas PDF maliciosos
- Estados Unidos sanciona direcciones de criptomoned...
- The Phone House España victima del grupo de ransom...
- Los Houston Rockets de la NBA, nueva victima del r...
- Hackean la web de Más Madrid y desvían 8.000 euros...
- Creador del Bitcoin, Satoshi Nakamoto, la 19ª pers...
- Informe del ransomware Clop
- Consejos para realizar copias de seguridad
- Error en WhatsApp permite desactivar y bloquear cu...
- Falsa oferta de trabajo de LinkedIn instala un tro...
- Troyano bancario IcedID: ¿el nuevo Emotet?
- ¿Qué es el "checksum" de un fichero bajado de inte...
- Ransomware: DoppelPaymer (BitPaymer)
- Finaliza concurso hacking Pwn2Own 2021
- journalctl; analizar logs del sistema en Linux
- Microsoft fabricará cascos de realidad aumentada p...
- Verifica si tu número de teléfono ha sido filtrado...
- Filtran información personal de 500 millones de us...
- ownCloud vs NextCloud crea tu propia nube personal
- XPEnology: el SO operativo DSM de Synology
- Alertan cheats contienen troyano en juegos como Ca...
- Monitorización Discos Duros HDD y unidades SSD con...
- Rendimiento memoria RAM DDR5 Vs DDR4
- Análisis ransomware Avaddon
- Detenido mafioso italiano tras ser reconocido en u...
- Asterisk: centralita Telefonía IP (VoIP) de código...
- Ejemplos útiles directivas de grupo de Windows 10
- Los números de teléfono y datos personales de 533 ...
- Completo Análisis del ransomware REvil (Sodinokibi)
- Usar Telegram cómo nube personal ilimitada
- Android envía 20 veces más datos a Google que iOS ...
- Hackearon 7 correos electrónicos de parlamentarios...
- Disponible distro hacking ético y pentester Parrot...
- Centro de Operaciones de Seguridad (SOC)
- Vulnerabilidades críticas en VMware vRealize Opera...
- Mes de la videovigilancia en Instant Byte: webinar...
- Google detuvo una operación antiterrorista en USA ...
- Proteger seguridad servidor NAS QNAP
-
►
2020
(Total:
212
)
- ► septiembre (Total: 21 )
-
►
2019
(Total:
102
)
- ► septiembre (Total: 14 )
-
►
2017
(Total:
231
)
- ► septiembre (Total: 16 )
-
►
2016
(Total:
266
)
- ► septiembre (Total: 38 )
-
►
2015
(Total:
445
)
- ► septiembre (Total: 47 )
-
►
2014
(Total:
185
)
- ► septiembre (Total: 18 )
-
►
2013
(Total:
100
)
- ► septiembre (Total: 3 )
-
►
2011
(Total:
7
)
- ► septiembre (Total: 1 )
Blogroll
Etiquetas
Entradas populares
-
Después de ver qué es una vCPU y la diferencia entre núcleos (cores) e hilos en los procesadores, pasamos a explicar toda la nomenclatura d...
-
Pese a que Gemini ofrece multitudes de opciones, recientemente, se ha dado a conocer una situación fuera de lo común. Hace unos días, un es...
-
La seguridad en dispositivos móviles es cada vez más crucial, especialmente ante el crecimiento de aplicaciones maliciosas diseñadas para v...
Proteger seguridad servidor NAS QNAP
Cuando tenemos un servidor NAS en nuestro hogar, normalmente lo tenemos siempre encendido, y podemos acceder a él de forma remota a través de Internet utilizando diferentes métodos (FTP, FTPES, SFTP, vía VPN al propio NAS etc.). QNAP incorpora diferentes opciones de configuración y software para mejorar mucho la seguridad y evitar ataques.
- Eliminar cuentas desconocidas o sospechosas
- Eliminar aplicaciones desconocidas o sospechosas
- Desactivar la configuración automática del enrutador y configure los controles de acceso al dispositivo en myQNAPcloud
- Evitar abrir los números de puerto predeterminados a Internet
- Instalar y ejecutar la última versión de Malware Remover
- Cambiar las contraseñas de todas las cuentas
- Actualizar las aplicaciones QTS instaladas a las últimas versiones
- Actualizar QTS a la última versión disponible
- Instalar QuFirewall
- Inicie sesión en QTS como administrador.
- Abra el Centro de aplicaciones.
- Vaya a Mis aplicaciones.
- Junto a Instalar actualizaciones, haga clic en Todo. Aparece un mensaje de confirmación.
- Haga clic en Aceptar. QTS actualiza las aplicaciones instaladas a las últimas versiones.
- Inicie sesión en QTS como administrador.
- Vaya a Panel de control> Sistema> Actualización de firmware.
- En Actualización en vivo, haga clic en Buscar actualización.
- QTS descarga e instala la última actualización disponible.
Abrir en el router sólo los puertos absolutamente necesarios
En el router solamente debemos abrir los puertos que realmente utilicemos, por ejemplo, el servidor FTP/FTPES para acceder de forma remota, no obstante, si quieres la mejor seguridad, abre solamente el puerto de tu servidor VPN en el NAS, y posteriormente accedes al servidor FTP del servidor. De esta forma, solamente tendrás abierto el puerto de la VPN donde se necesitan usar certificados digitales (OpenVPN) para la conexión.
Es fundamental que nuestro router esté bien configurado, no debemos nunca abrir la DMZ a un servidor NAS, porque esto permitirá realizar un reenvío de puertos a todos los puertos excepto los que están previamente abiertos a otros equipos. Solamente debemos abrir los puertos necesarios en el router, es decir, si vamos a acceder vía FTP/FTPES de forma remota a nuestro NAS, deberemos abrir el puerto correspondiente. Si vas a acceder solamente vía SSH o SFTP, entonces abriremos este puerto y ningún otro.
Si quieres mejorar al máximo la seguridad de tu servidor NAS, la mejor opción es abrir únicamente el puerto del servidor VPN al NAS, entonces nosotros nos conectaremos vía VPN a este servidor NAS, y posteriormente accederemos a sus archivos vía Samba, FTP o cualquier otro protocolo, pero siempre levantando un túnel cifrado y autenticado entre el origen (nosotros) y el destino (el servidor NAS). Si haces esto, solamente deberás abrir un puerto en el router y permitir acceso vía VPN, para acceder de manera segura de forma remota.
Deshabilitar el UPnP en el router
El protocolo UPnP (Universal Plug and Play) permite que las aplicaciones de ciertos dispositivos conectados a la red local, le digan al router que le abran un determinado puerto (o varios puertos) para que sean accesibles desde el exterior. Este protocolo es útil para usuarios con pocos conocimientos que no sepan abrir puertos manualmente en el router, pero también trae muchos problemas, porque no sabremos qué puertos están abriendo exactamente (a no ser que nos metamos en el router, estado de UPnP).
Cámaras IP, NAS y otros dispositivos en nuestro hogar, pueden hacer uso de este protocolo para abrir puertos de forma autónoma en el router, lo que es un riesgo para la seguridad. Lo mejor que puedes hacer es desactivar este protocolo en tu router, debes meterte en la configuración vía web del router, en la sección de NAT tendrás el UPnP y te permitirá desactivarlo. Dependiendo del modelo de router que tengas, esta opción de configuración estará en un lugar u otro. En nuestro caso, estamos usando pfSense como router principal, y se encuentra en «Services / UPnP», tal y como podéis ver, lo tenemos deshabilitado de manera predeterminada.
Desactivar UPnP en el NAS
Es posible que tu router no tenga la opción de desactivar el UPnP, entonces deberíamos desactivarlo en nuestro servidor NAS, para que el propio NAS no abra ningún puerto vía UPnP en el router, de esta forma, solamente abriremos los puertos que nosotros queramos en la típica sección de «Port Forwarding» o «Reenvío de puertos».
Para desactivarlo, nos vamos a la aplicación «myQNAPcloud» que se encuentra instalada de forma predeterminada en nuestro NAS, en la sección de «Configuración automática del enrutador» procedemos a deseleccionar la opción de «Habilitar autenticación de puertos UPnP» y aplicamos cambios.
Cambiar los puertos por defecto de los servicios (no sirve de mucho)
Si vas a hacer uso del servidor FTP desde el exterior, es recomendable que cambies el típico puerto TCP 21 por cualquier otro. Los ciberdelincuentes siempre programan bots para escanear servidores FTP por todo Internet, haciendo uso del puerto 21 que es el de por defecto. Es muy recomendable utilizar otro puerto para el FTP, como el 54356 por ejemplo, o cualquier otro, pero tampoco debemos usar los típicos 2121.
Lo mismo ocurre con el servidor SSH, si queremos acceder desde el exterior, es recomendable que no utilices los puertos 22 ni tampoco el típico 2222, los ciberdelincuentes siempre buscan este tipo de puertos para realizar intentos de acceso a nuestro servidor, e intentar atacarlo.
Por último, si haces uso del servidor OpenVPN, nuestra recomendación es que no utilices el puerto 1194 UDP que tenemos habilitado de manera predeterminada, utiliza cualquier otro puerto para evitar posibles ataques de denegación de servicio e intentos de acceso. Es lo que se conoce como «seguridad por oscuridad», es decir, estamos «escondiendo» el puerto a la vista de todos, por hacer uso de un puerto que no es el predeterminado.
Usar contraseñas robustas
Usar contraseñas complejas y robustas es algo fundamental, sobre todo para los usuarios con permisos de administrador. Si un atacante descubre nuestra contraseña de administración, será el final, porque tendrá acceso a todo el servidor NAS, servicios e incluso podría vulnerar fácilmente la red local donde esté conectada el servidor NAS. Es fundamental proteger las diferentes cuentas de usuario con una buena contraseña.
En la sección «Panel de control / Seguridad / Política de contraseñas» podéis forzar a los diferentes usuarios a utilizar contraseñas complejas, con unas determinadas letras, dígitos y caracteres especiales, además, también se puede poner una longitud mínima y otras opciones, como que la contraseña caduque tras unos determinados días o meses, ideal para ir renovándola continuamente.
Mantener actualizado firmware del NAS
QNAP es uno de los fabricantes que más actualizaciones lanzan a todos los servidores NAS, tanto de gama alta como los de gama baja. Mantener actualizado a la última versión de QuTS o QuTS Hero es fundamental para mantener la seguridad de nuestro servidor. Si no actualizamos el servidor, podríamos ser vulnerables a ataques e incluso que nuestro NAS se infecte con diferentes tipos de malware.
Para comprobar si tenemos la última actualización en nuestro NAS, nos tenemos que ir a la sección de «Panel de control / Sistema / Actualización del firmware».
Comprobar los logs de acceso con QuLog Center
En el sistema operativo QuTS y QuTS Hero podremos instalar un completo software para la gestión y visualización de los logs o registros del servidor NAS. Si instalamos QuLog Center desde el AppCenter, podremos ver en «Dispositivo Local / Registro de acceso al sistema» todos los intentos de acceso que se han realizado al servidor NAS, con el objetivo de mantener todo bajo control. Un detalle importante, es que podremos utilizar el buscador para ver los errores de acceso, e incluso los errores o advertencias que nos brinda QuLog Center.
Centro de notificaciones: gestiona los avisos por email o push
QNAP incorpora un completo centro de notificaciones donde saldrán todos los registros y eventos que ocurran en el servidor NAS. Desde aquí podremos ver todos los registros de eventos de sistema, pero, además, podremos configurar diferentes notificaciones por evento o notificaciones de alertas, además, podremos indicar una dirección de correo electrónico, o que directamente lo recibamos con una notificación push en nuestro smartphone, un SMS o que utilice mensajería instantánea (Skype y Facebook Messenger).
Malware Remover: comprueba y elimina el malware
Debido a que los cibercriminales han creado diferentes herramientas para infectar servidores NAS de QNAP, el fabricante tiene actualmente una herramienta llamada «Malware Remover» que nos permitirá hacer un escaneo bajo demanda o programado a todo el servidor NAS, de esta forma, podremos asegurarnos que estamos libre de malware en nuestro equipo.
Activa el firewall básico de QNAP: protección de acceso por IP y cuenta
QNAP cuenta de manera predeterminada con un firewall muy básico que nos permitirá configurar quién queremos que se conecte al servidor NAS. Todas las configuraciones de seguridad las tenemos disponibles en la sección de «Panel de control / Seguridad«. Tendremos tres opciones principalmente:
- Permitir todas las conexiones: esto hace que se permita cualquier conexión con IP de origen. Esta es la opción predeterminada, para que nosotros podamos acceder al NAS desde cualquier sitio.
- Denegar conexiones de la lista: permite todas las conexiones excepto las que están en el listado.
- Solo permitir conexiones de la lista: permite todas las conexiones de la lista, el resto de conexiones se deniegan.
Lo más seguro y recomendable es «solo permitir conexiones de la lista», pero no es lo más usable, porque si queremos acceder remotamente desde el WiFi de un familiar o vía 4G, directamente no podremos a no ser que hayamos añadido la dirección IP con anterioridad.
QNAP también dispone de un sistema que nos protege frente a los ataques de fuerza bruta o diccionario. Este sistema es capaz de bloquear de forma automática las direcciones IP cuando intentan realizar demasiados intentos de acceso, haciendo uso de diferentes protocolos como SSH, Telnet, HTTP o HTTPS, FTP, Samba etc. De esta forma, estaremos bloqueando intentos de inicio de sesión ilegítimos al servidor NAS.
Podremos elegir qué servicios proteger, y la configuración de las reglas. Definiremos un determinado tiempo donde haya determinados intentos de conexión fallidos, y posteriormente configuraremos cuando «caduca» esa dirección IP y se libera del bloqueo. En nuestro caso, hemos configurado 1 minuto con 5 intentos de conexión, y que esté bloqueado durante 1 día entero. Posteriormente se reestablece la dirección IP para que se pueda usar nuevamente.
QNAP también nos permite deshabilitar cuentas si se producen demasiados intentos de inicio de sesión fallidos. Imaginemos que tenemos una cuenta sin permisos de administración, nos interesa protegerla frente a ataques de fuerza bruta o diccionario, con el objetivo de que nadie pueda usarla. Este menú sirve justamente para esto. Un detalle muy importante, es que no podremos usar esto para bloquear a los usuarios que están en el grupo de administradores, algo lógico, porque un atacante podría intentar acceder con nuestra cuenta, y el NAS nos bloquearía a nosotros mismos.
Tendremos aquí dos opciones:
- Bloquear a todos los usuarios del grupo que no sean admins
- Bloquear los usuarios que no sean admin
Desactivar el usuario «admin»
Cuando un cibercriminal quiere intentar entrar en un sistema, siempre utiliza dos nombres de usuario muy típicos: root y admin. Ambos nombres de usuario son habituales en servidores NAS con sistema operativo basado en Linux. El objetivo de desactivar el usuario «admin» es que no pueda acceder jamás utilizando este nombre de usuario, aunque adivine la contraseña.
Para hacer esto, debemos seguir los siguientes pasos:
- Inicias sesión con el usuario «admin» de siempre
- Crear un nuevo usuario con otro nombre, y le añades al grupo de administradores. Esto se hace en «Panel de control / Privilegio / Usuarios».
Instalar QuFirewall y configura reglas fácilmente
QuFirewall es un software que podemos instalar de forma opcional en nuestro NAS QNAP, es un firewall muy fácil de utilizar que nos permite limitar el acceso al NAS solamente a direcciones IP públicas de España, denegando el resto del mundo. También permite autorizar conexiones desde determinadas reglas, y muchas otras opciones de configuración muy avanzadas.
Security Counselor: la navaja suiza para comprobar la seguridad del NAS
Por último, QNAP pone a nuestra disposición una herramienta llamada Security Counselor que podemos descargar desde AppCenter. Esta aplicación permite escanear todas las configuraciones del NAS de QNAP, y nos proporciona recomendaciones de seguridad para protegerlo lo mejor posible. Por ejemplo, nos avisará si tenemos el servidor SSH habilitado, si tenemos habilitada o no la autenticación en dos pasos para acceder al equipo, si forzamos el uso de contraseñas seguras con caducidad, y otros muchos parámetros.
Esta aplicación se integra con un antivirus que podemos instalar, con Malware Remover y también con QuFirewall del que hemos hablado antes, si no los tenemos instalados nos recomendará hacerlo, además, también veremos las diferentes comprobaciones de seguridad que realiza para tener nuestro NAS lo más protegido posible.
Fuentes:
https://www.redeszone.net/marcas/qnap/proteger-servidor-nas-qnap/
https://www.qnap.com/en/how-to/faq/article/what-is-the-best-practice-for-enhancing-nas-security
https://www.qnap.com/es-es/app_releasenotes/?type_choose=Security
0 comentarios :
Publicar un comentario
Los comentarios pueden ser revisados en cualquier momento por los moderadores.
Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.
Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.