威脅分析
從 Synology NAS 勒索事件，看服務隱藏如何降低漏洞暴露風險
NAS 同時承載檔案共享、備份、協作與遠端管理等功能，也因此集中保存了企業大量重要資料。一旦攻擊者取得設備控制權，影響範圍可能涵蓋正式文件、應用程式資料，以及存放於同一設備上的備份。
近期 HKEPC 報導，部分 Synology NAS 遭勒索攻擊，檔案被加上「.L0CK3D」副檔名。Synology 則於 2026 年 10 月 29 日發布聲明，指出已發現攻擊者利用一項於 2024 年 12 月修補的漏洞，攻擊仍執行舊版 DSM 的設備。由於媒體與官方對攻擊入口的說明有所差異，不能將所有受害案件直接歸因於同一條漏洞利用鏈。
從防護架構來看，這起事件值得關注的問題是：在完成身分驗證之前，外部來源是否已經能夠接觸 NAS 的服務？
對外開放服務，代表登入前就存在攻擊面
企業為了提供遠端存取，常透過 NAT 與連接埠轉送，將 NAS 的管理介面或應用服務發布至網際網路。
在這種架構下，外部來源不需要具備合法帳號，就能先與服務建立網路連線，向 Web 伺服器、API 或其他協定處理元件送出請求。帳號密碼驗證只是後續流程中的一道控制。
如果漏洞存在於驗證之前的請求處理流程，攻擊者便可能不經正常登入程序，直接觸發漏洞。因此，即使企業已啟用 MFA，也不能將它視為所有未授權遠端漏洞的防護措施。
這裡需要區分兩個層次：應用程式的登入驗證，決定使用者能否操作功能；網路層與服務層的存取控制，則決定對方是否有機會接觸應用程式。
- 驗證之前就能觸及的範圍
- 應用程式登入驗證
- 網路層／服務層存取控制
圖說文字版
透過連接埠轉送對外開放的 NAS，在登入驗證之前就已經在處理外部來源送來的請求。
請求路徑，由左至右五站
- 任意網際網路來源：不需要帳號。
- 路由器：NAT／連接埠轉送。
- Web 伺服器・API：協定處理元件。
- 登入驗證：帳號密碼＋MFA。
- DSM 功能：檔案、應用、管理。
標註
- 前三站上方的紅色括號：驗證之前，任何來源都能把請求送到這裡。
- 第三站下方：漏洞在這一段，就不必經過登入。
- 第四站上方：MFA 只在這一道。
底部兩條色帶
- 前三站：網路層／服務層存取控制，決定對方有沒有機會接觸應用程式。
- 後兩站：應用程式登入驗證，決定能操作哪些功能。
Merak 將存取控制前移至服務連線之前
Merak 服務隱藏架構，透過預設拒絕未授權連線的方式，將身分驗證與授權放在受保護服務的連線建立之前。
以 NAS 為例，部署時可將 DSM 管理介面、檔案服務及相關應用納入保護範圍，並移除原有的公網直連入口。使用者須先通過 Merak 的驗證與授權，才能建立通往指定服務的加密連線。
這種設計的重點，是讓 NAS 不必直接接收來自任意網際網路來源的應用請求。對於仰賴公網可達性進行掃描與漏洞利用的攻擊，可在請求抵達 NAS 前先限制其連線路徑。
在這個架構中，各項控制分別負責不同工作：
- 預設拒絕未授權連線：限制外部來源直接接觸受保護服務。
- mTLS 雙向驗證：在連線雙方之間驗證憑證與身分。
- MFA：加強使用者身分驗證，降低單一密碼遭竊所造成的風險。
- RBAC 服務層級授權：依角色開放必要服務，限制可連線的範圍。
- 已驗證、已授權的連線
- 未授權來源
- Merak 驗證與授權
圖說文字版
Merak 在連線建立之前先驗證與授權，並移除原有的公網直連入口，NAS 不再直接接收任意來源的應用請求。
左側：兩個來源
- 員工／維運人員：已通過驗證與授權，路徑穿過 Merak，成為通往指定服務的加密連線。
- 任意網際網路來源（掃描・漏洞利用）：在 Merak 前被拒絕，到不了 NAS。
中間：Merak 服務隱藏，連線建立之前先驗證與授權
- 預設拒絕未授權連線。
- mTLS 雙向驗證。
- MFA。
- RBAC 服務層級授權。
右側：Synology NAS 納入保護的服務
- DSM 管理介面。
- 檔案服務。
- 相關應用。
底部
- 原有公網直連入口（NAT／連接埠轉送）：已移除，以打叉的灰色虛線表示。
例如，一般員工可以被授權使用 NAS 檔案服務，但不具備連線至 DSM 管理介面的權限；維運人員則依職務取得管理服務的存取權。即使通過驗證，也不代表能連到所有內部服務。
這類服務層級授權，仍須搭配 NAS 本身的帳號、共享資料夾與檔案權限，才能完整限制使用者可執行的操作。
- 可連線
- 沒有路徑
- Merak 服務層級授權
圖說文字版
服務層級授權決定能連到哪一項服務，NAS 本身的權限決定連上之後能做什麼，兩者是兩層。
第一層 Merak RBAC：能連到哪一項服務
- 一般員工 → NAS 檔案服務：可連線。
- 一般員工 → DSM 管理介面：沒有路徑。
- 維運人員 → NAS 檔案服務：依職務授權。
- 維運人員 → DSM 管理介面：依職務授權。
第二層 NAS 本身：帳號・共享資料夾・檔案權限
- 決定連上服務之後，能操作哪些資料。
- 兩層一起，才能完整限制使用者可執行的操作。
降低暴露風險，關鍵在於沒有繞過路徑
服務隱藏能否發揮效果，取決於存取路徑是否完整納管。
如果 NAS 已納入 Merak 保護，但路由器仍保留直接連至 NAS 的連接埠轉送，外部來源就可能繞過驗證機制。其他遠端存取入口、反向代理與內部網路路徑，也需要一併盤點。
部署時應確認受保護服務只接受經授權路徑而來的連線，並檢查網路區隔與防火牆規則。單純更換連接埠、隱藏網址或不公開 DNS 名稱，都不足以建立這種存取限制。
- 經 Merak 的授權路徑
- 繞過驗證的路徑
圖說文字版
服務隱藏要成立，Merak 必須是唯一的入口；任何一條直達 NAS 的路徑都會讓驗證被繞過。
預期路徑（綠色）
- 已授權使用者 → Merak（驗證與授權）→ Synology NAS 受保護服務。
繞過驗證機制，直接抵達 NAS（紅色虛線）
- 路由器殘留的連接埠轉送。
- 其他遠端存取入口。
- 反向代理。
- 內部網路路徑。
底部一列
- 單純更換連接埠、隱藏網址或不公開 DNS 名稱，都不足以建立這種存取限制。
服務隱藏降低可達性，修補與備份處理剩餘風險
Merak 能降低未授權來源直接利用 NAS 服務漏洞的機會，尤其適合保護僅供員工、維運人員或特定合作對象使用的服務。
但服務隱藏不會消除設備本身的漏洞。若攻擊來自已獲授權且遭入侵的端點，或勒索程式已在 NAS 內執行，仍須依靠端點防護、最小權限、系統修補與事件應變處理。對具有寫入權限的合法連線，服務層級授權也不能自行判斷每一次檔案修改是否出於惡意。
因此，NAS 防護需要同時處理三件事：限制誰能接觸服務、持續修補可被利用的漏洞，以及保留攻擊者無法輕易改寫或刪除的備份。
- NAS 防護的三件事
- 服務隱藏處理不到的情境
- 仍須依靠的控制
圖說文字版
服務隱藏是 NAS 防護三件事裡的第一件，處理不到的情境仍須其他控制承接。
上排：NAS 防護要同時處理的三件事
- 一、限制誰能接觸服務（Merak 服務隱藏）：僅對通過驗證及授權的身分開放。
- 二、持續修補漏洞（系統修補）：設備本身的漏洞不會因隱藏而消失。
- 三、保留不易被改寫的備份：攻擊者無法輕易改寫或刪除。
下方：服務隱藏處理不到的情境 → 仍須依靠
- 已獲授權且遭入侵的端點 → 端點防護・最小權限。
- 勒索程式已在 NAS 內執行 → 系統修補・事件應變。
- 具寫入權限的合法連線修改檔案 → 最小權限・備份。
Merak 在其中的角色，是先縮小服務可被接觸的範圍。讓 NAS 的管理與檔案服務僅對通過驗證及授權的身分開放，能減少企業在漏洞公告後、修補完成前，持續暴露於公網攻擊的風險。
名詞對照與延伸閱讀
| 名詞 | 一句話解釋 | 出處 |
|---|---|---|
| NAS | 透過網路提供檔案存取的儲存設備 | Network-attached storage |
| 勒索軟體 | 加密資料並要求贖金的惡意程式 | 勒索軟體入侵途徑 |
| Synology-SA-24:20 | DSM 重大漏洞的官方安全公告 | Synology 安全公告 |
| NAT | 轉換私有與公有位址的機制 | RFC 3022 |
| 連接埠轉送 | 把外部連線導向內部主機的規則 | Port forwarding |
| 多因素驗證（MFA） | 密碼之外再加一道驗證因子 | NIST SP 800-63B |
| 利用對外應用程式 | 攻擊對外服務的已知漏洞入侵 | MITRE ATT&CK T1190 |
| 服務隱藏 | 未授權者看不到也連不到服務 | 軟體定義邊界（SDP）是什麼 |
| 預設拒絕 | 未經允許的連線一律拒絕 | 何謂零信任架構 |
| 雙向 TLS（mTLS） | 連線雙方互相驗證憑證 | Mutual authentication |
| 角色型存取控制（RBAC） | 依角色授予存取權限 | NIST RBAC |
| 外部遠端服務 | 對外開放供遠端登入的服務 | MITRE ATT&CK T1133 |
| 反向代理 | 代替後端伺服器接收外部請求 | Reverse proxy |
| 攻擊面盤點 | 列出所有可被外部觸及的入口 | 攻擊面盤點 |
| 網路區隔 | 把網路切成互不直通的區段 | Network segmentation |
| 端點防護 | 保護使用者裝置本身的控制 | Endpoint security |
| 最小權限原則 | 只給完成工作所需的最少權限 | Principle of least privilege |
| 修補管理 | 決定何時、依什麼順序套用更新 | NIST SP 800-40 Rev. 4 |
| 事件應變 | 偵測、遏止與復原資安事件 | NIST SP 800-61 Rev. 3 |
| 不可竄改備份 | 攻擊者改不到的資料副本 | CISA 勒索軟體指引 |