2026 年 10 月，群晖（Synology）NAS 再次成为勒索软件攻击的目标。部分用户因设备运行存在已知漏洞的 DSM 系统，遭遇文件加密、数据无法访问等问题。
结合此次安全事件，我们对企业内部正在运行的群晖 NAS 及备份设备开展了一次针对性的安全整改，主要涉及 DSM 系统升级、网络访问控制以及 Btrfs 不可变快照保护。
本文记录此次整改的实施过程、相关配置及注意事项，供后续运维维护和类似环境参考。
一、事件背景
2026 年 10 月，国内外陆续出现多起群晖 NAS 遭受勒索软件攻击的事件。部分受害设备中的文件被恶意加密，文件名被添加 .L0CK3D 后缀，同时出现名为 read-me3.txt 的勒索说明文件，攻击者要求受害者支付赎金以恢复数据访问权限。
10 月 29 日，360 安全团队发布《Cerber 勒索攻击群晖 NAS 事件预警》，表示自 10 月以来已收到多起相关求助。根据其样本分析，此轮攻击涉及 Cerber 勒索软件家族的变种 C3RB3R，并指出攻击者利用了 2026 年 9 月披露的两个高危漏洞：
- CVE-2026-13639
- CVE-2026-13684
根据群晖安全公告 Synology-SA-26:13，这两个漏洞均属于严重级别，CVSS 3.1 评分为 9.8，可能允许未经认证的远程攻击者读取或写入任意文件，并造成拒绝服务。
同日，群晖官方发布安全声明，确认攻击者正在利用已于 2024 年 12 月修复的安全漏洞，针对运行旧版 DSM 系统的设备实施攻击，并敦促用户及时安装安全更新。
需要注意的是，群晖官方与 360 安全团队对攻击入口的描述并不完全一致，目前不能认定所有受害设备均由同一个漏洞或攻击路径导致。
对于企业 IT 环境而言，NAS 不仅承担日常文件存储任务，还经常作为 VMware ESXi 虚拟机、业务系统以及数据库的集中备份平台。
一旦 NAS 遭到入侵，受到威胁的可能不仅是业务数据，还包括用于灾难恢复的历史备份。如果缺乏有效的网络隔离、快照保护以及独立备份机制，一次勒索攻击就可能同时影响生产数据与备份数据。
基于此次事件，我们结合现有企业网络架构，对群晖 NAS 开展了以下三个方面的安全整改：
- 系统安全： 升级 DSM 系统及必要套件，修复已知安全漏洞。
- 网络安全： 通过 Panabit 禁止 NAS 访问互联网，并利用深信服 AF 配置内网访问白名单。
- 数据安全： 在支持 Btrfs 的存储卷上启用不可变快照，保护历史恢复点。
此外，企业现有环境在 NAS 上线时就已经通过裸光纤建立异地备份机制。本次整改继续保留原有灾备架构，不再重复部署。
二、DSM 系统与套件安全更新
2.1 检查 DSM 系统版本
进入 DSM 控制面板，检查当前系统版本及官方安全更新，确认设备是否存在尚未修复的安全漏洞。
同时检查 NAS 型号对应的 DSM 版本兼容性，确定本次计划升级的目标版本。
特别提醒： 对于黑群晖（非群晖官方硬件设备），升级 DSM 需要格外谨慎。系统更新可能受到引导程序、硬件驱动及补丁兼容性的影响，升级前应确认当前引导版本及硬件兼容情况，并做好完整数据备份和回退准备，避免因升级导致系统无法正常启动或存储设备无法识别。
2.2 升级前备份 DSM 系统配置
在正式执行系统升级之前，建议先导出 DSM 系统配置，降低升级过程中因异常导致配置丢失的风险。
操作路径：
控制面板 → 更新和还原 → 系统设置备份 → 导出
导出后会生成 .dss 配置文件，建议保存至独立的 IT 管理电脑或其他备份存储设备，不要只保存在当前 NAS 中。
需要注意，.dss 文件主要用于保存受支持的 DSM 系统配置，并不是完整的 DSM 系统镜像，也不能替代业务数据备份。
2.3 执行 DSM 系统升级
完成配置导出，并确认重要业务数据已有可用备份后，再安排维护窗口执行 DSM 升级。
生产环境不建议在业务高峰期直接升级。升级过程中应关注系统状态、套件兼容性及相关业务服务，升级完成后检查 DSM 登录、共享文件夹、SMB 服务及 ABB 备份任务是否正常。
三、网络访问隔离
本次网络安全加固采用两套现有设备分别实施：
- Panabit： 负责群晖 NAS 及备份一体机的互联网出口限制。
- 深信服 AF： 负责内网访问控制，只允许授权 IP 访问相关设备。
需要说明，两个设备承担的网络安全职责不同，实际策略是否生效取决于网络拓扑及流量是否经过对应设备。
3.1 Panabit 禁止群晖访问互联网
对于主要承担企业内部存储和备份任务的 NAS，如果没有对外提供服务的需求，原则上没有必要长期保持直接访问互联网的能力。
关闭 QuickConnect 和公网端口映射，可以减少外部访问入口，但不能等同于完全禁止 NAS 主动访问互联网。
因此，本次整改在 Panabit 上进一步配置了流量阻断策略。
进入 Panabit 的流量控制策略界面，新增针对群晖及备份设备的规则。
本次配置的主要参数如下图：
这里需要特别说明：
由于当前 Panabit 主要承担互联网出口流量处理，群晖与内部业务服务器之间的通信不依赖 Panabit 转发，因此使用「任意」线路及流向匹配当前环境需求。
如果您的 Panabit 同时承担内网路由、专线转发或其他业务流量，建议进一步限定策略的线路和流向，避免误伤正常业务。
如果您的网络环境存在IPV6,也需要同步添加IPV6阻断策略。
策略实施后，还应确认：
- 群晖无法直接访问公网服务。
- 备份一体机无法通过受控出口访问互联网。
- 相关策略能够正常命中。
- 不影响内部 ESXi、业务服务器及其他必要通信。
- 其他网关或备用线路绕过限制的情况。
此外，在 DSM 中关闭不需要的 QuickConnect、DDNS 等远程访问功能，并检查出口设备是否仍保留相关公网端口映射。
3.2 深信服 AF 限制内网访问
仅禁止 NAS 访问互联网，并不能完全解决安全问题。
如果企业内部某台终端遭到入侵，攻击者仍可能通过内网横向移动访问 NAS，尝试利用系统漏洞、共享文件服务或已泄露的管理员凭据进行攻击。
因此，还需要对内网访问 NAS 的流量进行限制。
本次整改通过深信服 AF 防火墙实施访问白名单控制。
操作路径：
策略 → 访问控制 → 应用控制策略
主要配置思路如下：
第一条：允许授权人员和必要业务主机访问
| 配置项目 | 配置内容 |
|---|---|
| 源地址 | IT 运维人员及必要备份业务 IP |
| 目的地址 | 群晖和备份一体机 |
| 服务 | 根据实际管理及业务端口配置 |
| 执行动作 | 允许 |
| 优先级 | 高于 NAS 拒绝策略 |
第二条：拒绝其他设备访问
| 配置项目 | 配置内容 |
|---|---|
| 源地址 | All |
| 目的地址 | 群晖和备份一体机 |
| 服务 | any |
| 执行动作 | 拒绝 |
| 优先级 | 位于允许白名单之后、原有通用放行策略之前 |
这里有两个需要特别注意的地方。
必须先配置 IT 运维人员白名单。
如果直接创建拒绝策略，并将其放在原有允许策略之前，可能导致管理员自己也无法访问群晖管理界面。
正确的匹配顺序应该是：
- 允许 IT 管理人员及必要业务主机访问群晖。
- 拒绝其他 IP 访问群晖。
- 保留原有业务允许策略。
- 保留默认拒绝策略。
四、Btrfs 不可变快照保护
系统更新和网络隔离主要用于降低 NAS 被攻击的可能性。
但对于企业存储和备份设备，还需要考虑一个问题：
如果攻击者最终获得 NAS 的管理权限，如何保护已经生成的历史数据？
为此，本次整改在支持的群晖存储卷上启用了 Snapshot Replication 不可变快照功能。
4.1 普通快照与不可变快照的区别
普通快照可以记录文件系统在特定时间点的状态，方便管理员在文件误删除、误修改或数据异常时恢复历史版本。
但普通快照仍可能受到管理员误操作或恶意删除的影响。
不可变快照（Immutable Snapshot）则进一步增加了保护机制。
在指定的保护期内，不可变快照不能通过正常管理操作被删除或修改，从而降低历史恢复点被恶意清除的风险。
它的核心价值，不在于阻止恶意程序修改当前数据，而在于尽可能保留攻击发生前的历史恢复点。
4.2 配置 Snapshot Replication
在 DSM 中安装并打开 Snapshot Replication 套件。
选择需要保护的共享文件夹，进入快照计划设置。
本次采用以下配置：
| 配置项目 | 配置内容 |
|---|---|
| 启用快照计划 | 开启 |
| 快照频率 | 每天一次 |
| 执行时间 | 05:00 |
| 启用不可变快照 | 开启 |
| 不可变保护期 | 30 天 |
需要说明，本次选择 30 天保护期，是结合现有备份环境制定的配置方案，并不代表所有企业都适合直接套用。
如果备份数据每天变化较大，长时间保留不可变快照可能产生较高的存储空间消耗。
因此，不可变保护期应结合以下因素综合决定：
- 当前存储池总容量和剩余空间。
- 业务数据每天的实际变化量。
- 历史数据恢复需求。
- 勒索事件可能的发现周期。
- 备份任务运行时间及版本清理计划。
此外，不可变保护期与快照历史保留策略并不是同一个概念。
不可变保护期决定快照在多长时间内不能被删除，而「保留」选项卡决定历史快照的正常保留和清理规则。
两者需要配合配置，不能只设置保护天数而忽略历史保留策略。
对于使用 ABB 的备份环境，还应尽量避免快照任务与虚拟机备份、备份版本清理任务发生冲突，并确认相应恢复点的一致性和可用性。
4.3 文件系统兼容性
需要特别注意，并不是所有群晖存储卷都支持不可变快照功能。
在群晖 DSM 中，不同文件系统的支持情况存在区别。
| 文件系统 | 共享文件夹快照 | 不可变快照 |
|---|---|---|
| Btrfs | 支持，需满足设备兼容性要求 | 支持的型号及版本可用 |
| EXT4 | 不支持 Snapshot Replication 共享文件夹快照 | 不支持此类共享文件夹不可变快照 |
需要补充的是，部分 EXT4 卷上的高级 Thin Provisioning LUN 可以使用相应的 LUN 快照功能，但这不代表 EXT4 普通共享文件夹也支持 Snapshot Replication。
即使使用 Btrfs，也并不意味着所有群晖设备都支持不可变快照，具体还需要确认 NAS 型号、DSM 版本和官方兼容性列表。
因此，在实施前应先进入存储管理器检查卷的文件系统类型。
如果现有存储卷采用 EXT4，不能简单通过勾选选项启用 Btrfs 不可变快照。需要结合数据迁移、备份及存储卷重建方案进行评估。
4.4 不可变快照不能替代备份
这是本次整改中特别需要强调的一点。
快照和备份虽然都能用于数据恢复，但并不是同一种保护机制。
快照主要用于保留当前存储系统中的历史数据状态，而独立备份则用于在原始设备或存储系统发生严重故障时恢复数据。
即使已经启用了不可变快照，以下风险仍然可能存在：
- NAS 整机硬件损坏。
- RAID 或存储池发生严重故障。
- 多块硬盘同时损坏。
- 存储设备被恶意破坏。
- 设备丢失或遭遇物理灾害。
因此，不可变快照不能替代 ABB、独立备份或异地灾备。
五、现有异地备份架构
需要说明的是，异地备份并不是本次勒索事件发生后才新增的整改措施。
在群晖 NAS 最初上线时，我们就已经部署了异地备份方案。
现有环境通过裸光纤连接异地硕讯备份一体机，将备份数据保存至另一处设备，为本地 NAS 发生硬件故障、存储异常或其他严重故障时的数据恢复提供保障。
本次安全整改没有重新建设异地备份系统，而是在原有灾备架构的基础上，进一步加强了群晖本地的系统安全、网络访问控制和快照保护。
这里同样需要注意：异地备份并不天然等于不可变备份。
裸光纤解决的是传输通道问题，异地副本能否抵御勒索攻击，还取决于备份机制、访问权限、账号隔离和历史版本保护能力。
如果源端被入侵后，攻击者仍能使用相同权限删除或覆盖异地备份，那么异地副本也可能受到影响。
因此，异地备份的安全性不仅取决于物理位置，还需要关注副本本身能否独立保留和恢复。
六、整改总结
本次群晖 NAS 防勒索安全整改，主要针对三个方面进行了加强。
| 整改项目 | 具体措施 | 主要目的 |
|---|---|---|
| DSM 系统安全 | 升级 DSM 及必要套件 | 修复已知安全漏洞 |
| 网络访问控制 | Panabit 阻断公网访问，深信服 AF 配置白名单 | 减少外部暴露及内网横向访问风险 |
| 数据安全保护 | Btrfs 不可变快照，每天 05:00 执行，保护期 30 天 | 降低历史恢复点被删除的风险 |
| 原有异地灾备 | 裸光纤连接异地硕讯备份一体机 | 保留独立于本地 NAS 的数据副本 |
前三项属于本次新增或调整的安全措施，第四项为 NAS 上线时已经建设的灾备能力。
实施这类整改时，除了关注配置本身，还需要检查网络策略实际命中情况、生产备份任务是否受到影响、快照是否成功创建，以及历史数据能否正常恢复。
在我看来，企业 NAS 的安全防护不应该只依赖某一项功能。
DSM 升级能够修复已知漏洞，但不能保证系统不存在其他安全风险；网络隔离能够减少攻击入口，但无法完全阻止内网攻击；不可变快照能够保护历史恢复点，但无法替代独立备份。
只有将系统更新、网络访问控制、快照保护和异地备份结合起来，才能在降低攻击风险的同时，进一步提高数据恢复能力。
安全防护的目标并不是保证系统永远不会被攻击，而是在攻击真正发生时，尽可能降低影响，并保留恢复业务的能力