Les solutions de NAS SOHO, et particulièrement les Synology, sont de plus en plus présentes chez le particulier et dans les petites entreprises. Voici un tour d’horizon de consignes de sécurité de base pour éviter tout désagrément (indisponibilité, pertes de données, piratage, dysfonctionnement, etc …).
Cet article s’adresse à des utilisateurs ayant déjà des connaissances en matière de NAS (ici DSM de Synology). Cela vaut presque pour toutes les solutions de serveur ET seules les tâches à mettre en œuvre sont abordées (pas le comment faire) !
Procédons !
1 – La stratégie de sauvegarde
Définir quoi sauvegarder, comment, ou, quand et par qui est primordial !
Définissez quelles données conservées, à quelle fréquence, qui le fera (auto ou manuel) et sur quel support (ou) ? Bien que cette analyse soit importante, cela nécessite des moyens et entraine un cout. À adapter en fonction de vos moyens !
nota : il n’y pas que la sauvegarde des données utilisateurs, la sauvegarde de la configuration du NAS est pertinente aussi !
2 – La politique de gestion des droits d’accès aux ressources
Je constate souvent en clientèle que les droits d’accès aux fichiers sont libres et que de facto n’importe qui pouvant accéder au réseau (filaire / sans fil) peut {consulter|modifier|supprimer} des dossiers ou fichiers sans aucune difficulté. C’est l’aspect pratique qui est souvent mis en avant par les utilisateurs …
nota : ce que je comprends quand on doit entrer 15 fois par jour le même mot de passe pour chaque {dossier|volume} … sic !
Ce n’est qu’un problème d'{administration|administrateur} et de compétences ! Si la gestion est efficace en amont, elle ne perturbe que très peu, voire pas du tout les utilisateurs ensuite. En effet, une fois la politique définie et les mots de passe communiqués, ces derniers peuvent être enregistrés en mémoire de l’ordinateur et ne seront plus demandés (voire à l’aide d’un script).
nota : cela peut passer par la modification de la force des mots de passe, la désactivation du compte admin par défaut, la création de groupe etc … !
Seules des petites opérations de maintenance seront à réaliser par la suite (rédaction et tenue d’un carnet de bord est essentielle).
3 – Reporting, journalisation
Recevoir les messages d’alertes et vérifier les journaux fait aussi partie des règles de base …
Pour cela, activez les notifications via l’interface d’administration, et {consultez|filtrez} les journaux régulièrement … Ça vaut aussi bien pour les accès, que pour le bon déroulement de la sauvegarde, que pour les mises à jour disponibles … etc
Idem pour l’utilisation d’un superviseur (via SNMP ou made in Synology), pour ceux qui gèrent un parc de serveurs … c’est essentiel !
4 – De l’utilisation de logiciels et services (re)connus
Plus vous utilisez de logiciels, plus vous augmentez le potentiel d’accès au NAS et donc les problèmes (c’est mécanique) … Chaque {logiciel|service|module} installé doit être nécessaire et utilisé. Si ce n’est pas le cas, désinstallez le !
De même, selon le contexte dans lequel vous êtes, il est préférable de connaitre l’étendue d’actions et fonctions des logiciels utilisés. Savoir ou on est, permet de savoir ou on peut aller …
Un bon nombre de faille de sécurité identifiées en entreprise provient de défaut de configuration (mise en œuvre ou maintenance).
nota : au passage, attention à la gestion de l’heure … et utilisez (S)NTP !
5 – L’accès à distance
C’est la même chose pour l’accès à distance aux services … Tout ce qui est nécessaire est déployé, le reste bloqué !
Cela veut dire :
- Sécuriser l’accès externe avec le protocole https (le limiter, voire l’interdire (pour admin par ex.)).
- Mise en œuvre de la double vérification pour accès à distance.
- N’ouvrir que les ports nécessaires,
- Blocage automatique des adresses IP etc …
6 – L’installation d’un anti-virus
Les NAS Synology proposent depuis quelque temps, l’installation d’un anti-virus (gratuit ou payant) et donc l’analyse des fichiers qui s’y trouvent.
nota : attention, cela consomme pas mal de ressources …
7 – La politique de mise à jour
Des failles sont trouvées tous les jours dans les protocoles, les services (logiciels), ou autres briquent qu’utilisent potentiellement votre NAS.
Effectuer les mises à jour de votre NAS régulièrement réduit le risque lié à ces failles. ET les faire sans réfléchir (automatiquement) peut poser des problèmes (bug etc …).
nota : les mises à jour du DSM se font à travers l’interface d’admin. Ne jamais utiliser une version beta en production …
8 – Les pannes de courant et l’onduleur
Protéger son installation contre les agressions extérieures est important … sinon ça veut dire discontinuité de services, et perte de CA pour les entreprises !
La protection contre les surtensions et chute de tension sont utiles. Un onduleur est une des meilleures solutions.
nota : prenez soins au dimensionnement, et au câblage sinon ces protections pourront être inutiles !
9 – Lieu de stockage et accès physique
Le serveur NAS doit être disposé dans un endroit où la température et l’hygrométrie sont contrôlées et stables. Si l’environnement est trop chaud, trop humide etc … cela peut causer des dommages à l’électronique et la mécanique des composants internes. Veillez à respecter les conditions de fonctionnement.
Idem pour l’accès physique au NAS. Celui ci doit être fermé à clé et l’accès limité ! L’idéal est un coffret réseau (rack 19″) avec clé d’accès + câble Kensington …
Toutes les précautions (ci dessus) ne valent rien si le NAS est facilement accessible (vol, détérioration etc …) !
10 – Veille technologique
Dernier point, un peu moins important (ça l’est un peu plus pour les intégrateurs de ce type de solutions) … faire de la veille technologique et connaitre l’existant est essentiel ! Cela permet d’utiliser des protocoles, services, cryptage ou autres qui sont encore d’actualité (maintenu, pas de faille etc …).
Conclusion
De manière générale, toutes ces précautions n’ont d’intérêts que si cela vous apporte quelque chose. Dans toute action, vous devez faire la balance entre les dépenses et les recettes (ici l’intérêt et le bénéfice de ces {règles|contraintes}, en contre partie des désagréments (vol données, indisponibilité) éventuels.
Après intervention, mes clients respectent en moyenne plus de 90 % de ces recommandations de base quand elle sont applicables …
nota : certains respectaient < 10% de ces recommandations avant audit).
[…] : cet article est un complément aux règles de base sur la sécurité d’un NAS Synology, qui va plus en profondeur sur le […]
[…] le haut de la chaine qui change. Rechercher – Page 2. Synology : 10 régles de base pour la sécurité de votre NAS | AEM Blog. Publié le novembre 15th, 2013 | par Sébastien Les solutions de NAS SOHO, et particulièrement […]
[…] vous avez suivi les recommandations sur la sécurité, vous savez que le port de l’administration par défaut est le port 5001 avec httpS et que […]