QNAP NAS 보안설정

안녕하세요. 오늘은 QNAP NAS의 보안 설정에 대해 알아보겠습니다.
개인 컴퓨터든, 서버든 보안은 항상 중요하게 다루어지는 부분입니다.

개인용 NAS의 경우 개인적인 사진, 영상 등 개인적인 데이터가 주로 저장되고,
기업용 NAS의 경우 기업/회사의 주요 자산이 저장되기 때문에 더욱더 보안에 신경써야 합니다.

NAS의 데이터를 외부 침입자로부터 보호하고 데이터를 지키는 몇가지 NAS 보안 설정을 설명드리겠습니다.

초기 생성된 Admin 계정 사용중지
서비스 포트(Port) 변경
QNAP 보안 정책 설정
QTS 및 App. 최신 업데이트

1. Admin 계정 사용중지

QNAP NAS를 처음 설치하고 구성하게 되면 생기는 계정이 있는데요, 바로 admin 계정입니다.
기본으로 생성된 계정이기 때문에 실제 해당 계정으로 로그인 시도가 많이 발생합니다.
특별한 경우가 아니라면 admin 계정은 중지하고, 신규로 계정을 생성해서 관리자 계정으로 사용하는게 좋습니다.

admin 계정을 사용중지 하기 위해서는 관리자로 사용할 신규 계정을 우선 생성합니다.

신규 계정 생성

제어판 > 권한 > 사용자에서 만들기 버튼을 누르고 사용자 만들기를 선택합니다.
사용자 이름과 암호를 입력하고 사용자 그룹, 공유 폴더 권한, 애플리케이션 권한 편집을 합니다.

사용자 그룹 편집을 눌러 administrators를 추가 합니다.

공유 폴더 권한 편집을 눌러 모든 폴더에 RW(읽기/쓰기) 권한을 부여 합니다.

마지막으로 애플리케이션 권한 편집을 눌러 모든 응용프로그램 권한을 넣어줍니다.

이렇게 신규 관리자 계정을 생성하고 해당 계정으로 로그인 합니다.

기존 관리자(admin) 계정 중지

제어판 > 권한 > 사용자 화면에 접속 후 admin 계정의 계정 프로필 편집 버튼을 눌러줍니다.
이 계정 사용 안함에 체크 후 확인 버튼을 눌러 저장합니다.

2. 서비스 포트 변경

기본으로 설정된 시스템 포트를 임의 포트로 변경해줍니다.
참고로 포트를 변경하면 공유기에서도 포트포워딩을 설정해야 외부에서도 접속이 가능합니다.

제어판 > 시스템 > 시스템 관리에 접속 후 시스템 포트를 원하는 포트로 변경합니다.

3. QNAP 보안 정책 설정

QNAP NAS에서 제공하는 보안 정책을 설정해서 보안 수준을 높이는 방법이 있습니다.
특정 IP에 대해 접속을 허용하거나 거부할 수 있고, 지정된 기간 내에 로그인 시도가 너무 많이 실패하면
해당 IP에 대해 차단을 할 수 있습니다.

특정 IP 허용/거부

시스템 > 보안 > 목록 허용/거부 화면에서 모든 연결을 허용할지, 특정 IP를 차단하거나 허용 할 수 있습니다.

IP 엑세스 보호

특정 서비스에 대해 일정 기간 내 몇회 로그인 실패시 차단 할 수 있습니다.
저는 모든 서비스에 대해 1분 내 5회 실패하면 해당 IP는 영구적으로 차단하도록 정책을 설정 했습니다.
차단된 IP는 나중에 허용/거부 목록에서 삭제 할 수 있습니다.

만약 컴퓨터에서 차단이 되면 컴퓨터의 IP를 새로 받거나, 다른 IP의 기기 (스마트폰, 태블릿 등)에서
접속 후 차단된 IP를 삭제 해주어야 하니 참고 바랍니다.

4. QTS 및 App. 최신화

QTS는 가급적 최신 버전을 유지하고, App.도 업데이트가 있는 경우 업데이트를 통해 최신 버전으로 유지하는게 좋습니다.

QTS 업데이트

https://www.qnap.com/ko-kr/download 접속 후 본인의 제품을 선택 후
최신의 QTS를 다운로드 받습니다.

시스템 > 펌웨어 업데이트 화면에 접속합니다.
라이브 업데이트의 항목은 체크해제 하여 가급적 사용하지 않고 수동으로 업데이트하기를 권장합니다.

펌웨어 업데이트에서 찾아보기를 클릭하고 다운받은 QTS 파일을 열어 시스템 업데이트를 수행 합니다.

App. 업데이트

App Center에 접속해서 내 애플리케이션을 선택해서 업데이트 항목이 있는 경우 업데이트를 실시 합니다.

실제로 지난해 QNAP NAS를 타겟으로 랜섬웨어 공격이 있었습니다.

QNAP NAS 기기가 AgeLocker 랜섬웨어의 공격을 받고 있는 것으로 나타났습니다. 이 랜섬웨어는 기기의 데이터를 암호화하고 일부의 경우 피해자의 파일을 훔치는 것으로 나타났습니다.
AgeLocker는 Age라는 암호화 알고리즘을 활용하는 랜섬웨어로 파일, 백업, 스트림 암호화를 위해 GPG를 대체하도록 설계되었습니다.

출처: https://blog.alyac.co.kr/3271?category=750247 [이스트시큐리티 알약 블로그]