群晖勒索事件，虽然我们没有中招，但 NAS 是开放公网访问，先改了吧。
勒索
大量群晖（Synology）NAS设备近日遭到名为 C3RB3R（Cerber变种） 的大规模勒索病毒攻击，文件被加密为 .LOCK3D 或 .L0CK3D 后缀，并在目录中留下 read-me3.txt 勒索信。
群晖官方紧急发布公告，确认有NAS用户遭加密数据并勒索赎金，官方初步排查认为攻击者利用了2024年12月已修补的CVE-2024-10441漏洞（CVSS 9.8分），并列出各分支的最低安全版本。
- DSM 6.2：升级至6.2.4-25556-8或更高版本
- DSM 7.1：升级至7.1.1-42962-7或更高版本
- DSM 7.2：升级至7.2-64570-4或更高版本
- DSM 7.2.1：升级至7.2.1-69057-6或更高版本
- DSM 7.2.2：升级至7.2.2-72806-1或更高版本
不管怎么样，先更新版本。
检查了，我们后端的版本是最新的，因为我们一直保持自动更新。
禁止外网访问
有不少的地方要配置。
关闭 QuickConnect
QuickConnect 不需要端口转发就能从外网访问，最容易被忽略。
控制面板 → 外部访问 → QuickConnect，取消勾选"启用 QuickConnect"，然后点应用。
删除 DDNS
控制面板 → 外部访问 → DDNS，把已添加的 DDNS 条目删掉（例如 xxx.synology.me）。
还好，我们没有 DDNS 条目。
清除端口转发 / UPnP
- 群晖端：控制面板 → 外部访问 → 路由器配置，删除所有已创建的转发规则。
- 路由器端：登录路由器后台，删除指向 NAS 的端口转发（常见的是 5000/5001、6690、443、80 等），检查 NAS 有没有被设为 DMZ 主机。最好同时关闭路由器的 UPnP，防止 NAS 或其他套件自动开端口。
用防火墙兜底
控制面板 → 安全性 → 防火墙，勾选"启用防火墙"，编辑规则：
- 先添加允许规则：端口选"全部"，来源 IP 选"子网"，分别添加你的内网网段，例如
192.168.0.0/255.255.0.0、10.0.0.0/255.0.0.0、172.16.0.0/255.240.0.0。 - 在下方"如果没有符合的规则"选择拒绝访问。
注意一定要先加允许内网的规则，再设拒绝，否则会把自己锁在外面。如果开了 IPv6，也要考虑加上 fe80::/10 等 IPv6 内网规则或直接关闭 IPv6。
这里的配置要小心点，首先防火墙要开启自动可以访问的配置。
类似一个服务器，如果你开防火墙之前，不开 22 端口，结果你自己也没有办法 SSH 到服务器上了，整个服务器要重装。
对于没有怎么玩过的，或者机器上面有重资产的一定要小心。
如果公司或者家庭中部署了 NAS ，现在的 NAS 基本上 7X24 运行的机器，等于就是一台服务器，上面可能会保留有公司的重要文档和资产，及时做好冷备份，更新软件才能避免不必要的麻烦。