Hướng dẫn bảo mật NAS Synology: checklist hardening DSM 7 chống ransomware

NAS Synology thường là nơi tập trung dữ liệu quan trọng nhất của văn phòng: file chia sẻ, bản sao lưu máy trạm, camera, máy ảo. Vì vậy đây cũng là mục tiêu hấp dẫn của mã độc tống tiền (ransomware) và các cuộc quét lỗ hổng tự động trên Internet. Nếu bạn cần cái nhìn chung về ransomware trên NAS, xem thêm hướng dẫn chống ransomware cho NAS.

Rủi ro không chỉ mang tính lý thuyết. Tháng 9/2026, Synology phát hành bản vá mức Critical cho DSM (Synology-SA-26:13), sửa các lỗ hổng cho phép kẻ tấn công từ xa đọc hoặc ghi file tùy ý trên DSM 7.2, 7.3 và 7.4. Trước đó, tháng 3/2026, advisory SA-26:03 sửa lỗi thực thi lệnh từ xa trong dịch vụ telnetd. Bài viết này gom các biện pháp cấu hình cần làm theo thứ tự ưu tiên, áp dụng cho DSM 7.x. Tên menu có thể lệch đôi chút giữa 7.2, 7.3 và 7.4.

⚡ Điểm nhanh bảo mật NAS Synology

• Vá lỗi trước tiên: đưa DSM lên bản đã vá SA-26:13 (7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 hoặc 7.2.1-69057-12 trở lên).
• Tài khoản: tạo admin mới, vô hiệu hóa tài khoản admin mặc định và tài khoản guest.
• 2FA: bắt buộc 2FA cho nhóm administrators; DSM hỗ trợ OTP, Approve sign-in (ứng dụng Secure SignIn) và khóa bảo mật phần cứng.
• Chặn dò mật khẩu: bật Auto Block, Account Protection và DoS protection tại Control Panel > Security.
• Firewall DSM: chỉ cho phép IP, dải IP hoặc quốc gia cần dùng; firewall chỉ lọc lưu lượng vào, không lọc chiều ra và không lọc theo MAC.
• SMB: đặt Minimum SMB protocol là SMB2, không bật SMB1 và NTLMv1.
• Truy cập từ xa: ưu tiên VPN; nếu phải mở dịch vụ ra Internet thì dùng reverse proxy kèm chứng chỉ hợp lệ, không mở trực tiếp cổng quản trị.
• Chống ransomware: bật Snapshot Replication, dùng Snapshot bất biến (immutable) trên model hỗ trợ, kết hợp sao lưu 3-2-1 bằng Hyper Backup có mã hóa phía client.
• Kiểm tra định kỳ: chạy Security Advisor theo lịch và nhận báo cáo hằng ngày hoặc hằng tháng.

Các lỗ hổng DSM gần đây cần biết

Bảng dưới tổng hợp hai advisory của Synology trong năm 2026 liên quan trực tiếp đến cấu hình bảo mật nêu trong bài (nguồn: trang advisory của Synology và cảnh báo của CSA Singapore).

Danh sách ghi nhận đóng góp trong advisory SA-26:13 có tên các nhà nghiên cứu của Viettel Cyber Security.

Checklist hardening DSM theo mức ưu tiên

1. Cập nhật DSM và gói ứng dụng

Hai advisory ở trên cho thấy lỗ hổng nghiêm trọng xuất hiện nhiều lần trong năm, nên cập nhật là biện pháp có hiệu quả cao nhất. Vào Control Panel > Update & Restore để kiểm tra bản DSM, và Package Center để cập nhật gói. DSM có tùy chọn cập nhật tự động, nhưng với các bản vá khẩn như SA-26:13, quản trị viên nên chủ động kiểm tra số bản đang chạy và đối chiếu với bảng ở trên. Theo dõi trang Security Advisory của Synology để biết advisory mới.

2. Tài khoản quản trị và mật khẩu

• Tạo tài khoản quản trị mới với tên không phải admin tại Control Panel > User & Group, đăng nhập bằng tài khoản đó rồi vô hiệu hóa tài khoản admin mặc định. Synology khuyến nghị làm việc này để chống brute-force. Trước khi tắt, cần chuyển dữ liệu và cấu hình đang gắn với admin (thư mục /homes/admin, tác vụ Hyper Backup, Snapshot Replication, Cloud Sync...) sang tài khoản mới.
• Vô hiệu hóa tài khoản guest. Nếu tùy chọn bị mờ, kiểm tra Control Panel > File Services > SMB > Advanced Settings > Others và tắt Enable Local Master Browser. Tùy chọn này còn làm ổ cứng không vào chế độ ngủ và kích hoạt guest không cần mật khẩu.
• Bật quy tắc độ mạnh mật khẩu và thời hạn mật khẩu tại Control Panel > User & Group > Advanced.
• Dùng tài khoản thường cho công việc hằng ngày, chỉ dùng tài khoản quản trị khi cần quản trị.

3. Xác thực hai yếu tố (2FA)

DSM cho phép bắt buộc 2FA với nhóm administrators, toàn bộ người dùng hoặc từng người dùng, nhóm cụ thể. Người chưa thiết lập sẽ bị yêu cầu hoàn tất trước khi vào DSM. Ngoài mã OTP, có hai phương thức mạnh hơn:

• Approve sign-in: xác nhận bằng một lần chạm trên ứng dụng Synology Secure SignIn (Android, iOS), dùng được khi truy cập qua IP công cộng, tên miền hoặc QuickConnect. Tính năng cần NAS kết nối được tới Synology Account để gửi thông báo đẩy.
• Khóa bảo mật phần cứng: yêu cầu truy cập DSM bằng tên miền qua HTTPS, không hỗ trợ truy cập qua IP hoặc QuickConnect.

Adaptive MFA thêm một bước xác minh khi lần đăng nhập của quản trị viên bị đánh giá là rủi ro, và được bật mặc định cho quản trị viên chưa dùng 2FA. Lưu ý khi phục hồi: người dùng thường có thể dùng mã xác minh khẩn cấp gửi qua email, còn quản trị viên không đặt lại bằng email được mà phải soft reset. Vì vậy nên tạo sẵn ít nhất hai tài khoản quản trị và cất mã dự phòng ở nơi an toàn.

4. Auto Block, Account Protection và DoS protection

• Auto Block (Control Panel > Security > Protection): chặn IP có quá nhiều lần đăng nhập thất bại ở lớp IP. Phạm vi bảo vệ gồm đăng nhập web DSM, SSH, Telnet, SMB, NFS, FTP, AFP, WebDAV, rsync, VPN và ứng dụng di động. Nên bật thời hạn chặn (block expiration) và dùng Allow List cho IP quản trị tin cậy để không tự khóa mình.
• Account Protection (Control Panel > Security > Account): áp quy tắc riêng cho thiết bị tin cậy và không tin cậy, giới hạn số lần thử và tần suất. SSH, rsync và FTP có thể bị chặn nhưng không tự thêm vào danh sách bảo vệ này.
• DoS protection (Control Panel > Security > Protection): chọn giao diện mạng rồi bật Enable DoS protection. Đây là bảo vệ chống DoS đơn giản trên NAS, không thay thế giải pháp chống DDoS ở tầng mạng.

5. Firewall của DSM

Firewall nằm tại Control Panel > Security > Firewall. Có thể tạo nhiều profile, lọc theo IP nguồn, dải IP, cổng hoặc quốc gia, và đặt hành động mặc định cho lưu lượng không khớp rule. Các lưu ý quan trọng khi cấu hình:

• Rule được xét theo thứ tự ưu tiên trong danh sách; khớp rule nào thì áp dụng rule đó.
• Chỉ lọc lưu lượng vào, không lọc lưu lượng ra, không hỗ trợ lọc theo MAC.
• Khi tạo rule, phải đăng nhập DSM từ IP mà rule cho phép, nếu không có thể tự khóa mình.
• Nếu NAS có nhiều cổng mạng cùng một subnet, rule có thể hoạt động không đúng. Nếu kết nối Internet qua PPPoE, phải cấu hình rule trên giao diện PPPoE tương ứng.
• Khi đăng nhập qua QuickConnect, cơ chế của QuickConnect có thể khiến firewall không lọc được lưu lượng đó (xem hướng dẫn tạo firewall rule của Synology).
• Cơ sở dữ liệu GeoIP chỉ được cập nhật thông qua bản cập nhật DSM.

Cách làm thực tế: tạo rule cho phép các dải IP văn phòng và VPN vào các cổng dịch vụ cần thiết, sau đó đặt hành động mặc định là từ chối. Với mạng có firewall biên, xem thêm checklist bảo mật FortiGate để thiết kế lớp bảo vệ phía trước NAS.

6. Dịch vụ, cổng và HTTPS

• Chỉ bật dịch vụ thật sự dùng. Telnet nên để tắt, vì advisory SA-26:03 sửa lỗi nghiêm trọng đúng ở dịch vụ này; SSH và FTP chỉ bật khi cần và nên giới hạn IP bằng firewall. Các thiết lập này nằm ở Control Panel > Terminal & SNMP và File Services.
• DSM mặc định dùng cổng 5000 (HTTP) và 5001 (HTTPS). Có thể đổi tại Control Panel > Login Portal > DSM. Việc đổi cổng chỉ giúp giảm nhiễu từ công cụ quét tự động, không phải biện pháp bảo mật thay thế firewall và 2FA.
• Bật Automatically redirect HTTP connection to HTTPS for DSM desktop tại Login Portal > DSM. Chỉ bật sau khi chứng chỉ đã hoạt động bình thường, tránh tự khóa quyền truy cập.
• Dùng chứng chỉ hợp lệ tại Control Panel > Security > Certificate. Chứng chỉ Let's Encrypt có hiệu lực 90 ngày và DSM tự gia hạn, nhưng việc gia hạn cần mở cổng 80 trên cả NAS lẫn router. Cần cân nhắc điều này nếu định đóng cổng 80.

7. Cấu hình SMB an toàn

SMB là giao thức chia sẻ file phổ biến nhất và cũng là đường lây lan thường gặp của ransomware trong mạng nội bộ. Cấu hình tại Control Panel > File Services > SMB > Advanced Settings:

• Đặt Maximum SMB protocol là SMB3 và Minimum SMB protocol là SMB2. Không nên đặt tối thiểu là SMB3 vì trên DSM, SMB3 nghĩa là SMB 3.1.1, đặt như vậy sẽ chặn các máy khách chỉ hỗ trợ bản SMB3 cũ hơn.
• Không bật SMB1. Từ DSM 7.0, NTLMv1 đã bị tắt vì lý do bảo mật và chỉ cho phép NTLMv2. Synology cho phép bật lại NTLMv1 ở tab Others như giải pháp cuối cùng cho thiết bị cũ, nhưng cảnh báo rõ đây là cấu hình không an toàn.
• Với dữ liệu nhạy cảm, bật Transport encryption mode cho SMB3. Lưu ý khi bật mã hóa truyền tải thì không hỗ trợ đăng nhập ẩn danh (anonymous).

8. Truy cập từ xa: QuickConnect, reverse proxy hay VPN

Đánh giá chung của VNExperts: dùng VPN cho quản trị và truy cập nội bộ; chỉ dùng reverse proxy khi cần chia sẻ dịch vụ cho người dùng bên ngoài. Nếu NAS nằm sau router có UPnP, nên kiểm tra router có tự tạo rule chuyển cổng cho QuickConnect hay không, vì cơ chế QuickConnect trực tiếp có thể làm điều này.

9. Chống ransomware bằng Snapshot bất biến

Snapshot Replication tạo bản chụp chỉ đọc theo thời điểm cho shared folder và LUN, chạy trên hệ thống tập tin Btrfs, có thể đặt lịch mỗi 5 phút để giảm lượng dữ liệu mất. Khi ransomware ghi đè file, các snapshot cũ vẫn giữ các phiên bản trước đó.

Điểm yếu của snapshot thường là có thể bị xóa nếu kẻ tấn công chiếm được tài khoản quản trị. Từ DSM 7.2, Snapshot bất biến (immutable) dựa trên công nghệ WORM khóa snapshot trong một khoảng thời gian bảo vệ: trong thời gian đó dữ liệu không thể bị sửa hoặc xóa, và shared folder, LUN, volume hay storage pool chứa snapshot bất biến cũng không thể bị xóa. Cần lưu ý:

• Tính năng chỉ có trên các model Synology được hỗ trợ (WORM) và volume Btrfs; hãy kiểm tra danh sách model trước khi thiết kế hệ thống.
• Thiết lập tại Snapshot Replication > Snapshots > Shared Folder hoặc LUN, chọn Immutable snapshots và đặt Protection period. Đã đặt thì không thể thay đổi cho đến khi hết thời gian bảo vệ. Có thể đặt tương tự cho snapshot sao chép sang NAS đích tại Replication.
• Chọn thời gian bảo vệ đủ dài để bạn kịp phát hiện sự cố (ví dụ 14 ngày), nhưng nhớ rằng snapshot bất biến vẫn chiếm dung lượng; dùng công cụ tính dung lượng snapshot để theo dõi.
• Có thể kết hợp tự động tạo snapshot bất biến khi hệ thống phát hiện hành vi giống ransomware, tính năng này yêu cầu model WORM và mỗi shared folder chỉ được một snapshot tự động mỗi ngày.

10. Sao lưu 3-2-1 với Hyper Backup

Snapshot nằm trên chính NAS nên không thay thế được sao lưu. RAID cũng vậy: RAID chống lỗi ổ cứng chứ không chống xóa nhầm hay mã hóa dữ liệu (xem RAID là gì). Synology khuyến nghị quy tắc 3-2-1: 3 bản sao dữ liệu, 2 loại phương tiện lưu trữ, 1 bản ở ngoài địa điểm chính. Synology cũng giới thiệu mô hình mở rộng 3-2-1-1-0, trong đó có thêm một bản sao bất biến mà kẻ tấn công không thể sửa hoặc xóa.

Khi tạo tác vụ Hyper Backup, bật Enable client-side encryption để mã hóa dữ liệu bằng AES-256 trước khi rời NAS. Dữ liệu được mã hóa khi truyền kể cả khi không bật tùy chọn này. Hai lưu ý sống còn: không thể tắt mã hóa phía client hoặc đổi mật khẩu sau khi đã tạo tác vụ, và mất mật khẩu hoặc khóa mã hóa thì không khôi phục được. Hãy lưu khóa ở nơi ngoài NAS. Hyper Backup cũng không hỗ trợ tính năng WriteOnce. Cuối cùng, hãy kiểm thử khôi phục định kỳ, vì bản sao lưu chưa từng khôi phục thử thì chưa thể coi là an toàn.

11. Security Advisor, antivirus và thông báo

• Security Advisor quét cấu hình DSM, kiểm tra độ mạnh mật khẩu, thiết lập mạng, hoạt động đăng nhập đáng ngờ, bản cập nhật DSM và gói, đồng thời phát hiện mã độc. Có thể chọn baseline theo mục đích dùng (gia đình hoặc công việc) hoặc tự tùy biến danh sách kiểm tra. Đặt lịch quét tại Security Advisor > Advanced (Enable regular scan schedule) và cấu hình báo cáo hằng ngày hoặc hằng tháng tại Report Settings.
• Antivirus: Package Center có Antivirus Essential (miễn phí, engine ClamAV) và Antivirus by McAfee (trả phí). Antivirus là lớp bổ sung, không thay thế Snapshot và sao lưu.
• Thông báo: cấu hình Notification để nhận email hoặc thông báo đẩy khi có đăng nhập bất thường, lỗi sao lưu hoặc cảnh báo của Security Advisor.

Câu hỏi thường gặp

Đã có firewall ở router thì có cần bật firewall DSM không? Nên bật. Firewall DSM là lớp thứ hai ngay tại NAS, hữu ích khi thiết bị khác trong mạng nội bộ bị nhiễm mã độc. Hãy nhớ nó chỉ lọc lưu lượng vào, không lọc chiều ra.

Đổi cổng 5000 và 5001 có đủ để bảo mật DSM không? Không. Đổi cổng chỉ giảm bớt quét tự động. Các biện pháp có tác dụng thực sự là cập nhật bản vá, 2FA, Auto Block, firewall và không phơi bày giao diện quản trị ra Internet.

Snapshot có thay thế được sao lưu không? Không. Snapshot nằm trên cùng NAS nên chung rủi ro hỏng thiết bị, cháy nổ hoặc mất cắp. Snapshot bất biến giúp chống ransomware rất tốt, nhưng vẫn cần ít nhất một bản sao lưu ở nơi khác theo quy tắc 3-2-1.

QuickConnect có an toàn không? QuickConnect tiện vì không cần mở cổng, nhưng khi dùng cần hiểu giới hạn: lưu lượng có thể đi qua máy chủ relay của Synology, và firewall DSM có thể không lọc được kết nối này. Nếu dùng QuickConnect, hãy bật 2FA và Auto Block, đồng thời giữ DSM luôn được cập nhật.

Nên đặt Minimum SMB protocol là gì? SMB2 là lựa chọn an toàn và tương thích. Không đặt SMB3 làm mức tối thiểu vì sẽ chặn các máy khách chỉ hỗ trợ bản SMB3 cũ, và không bật SMB1 cùng NTLMv1 trừ khi bắt buộc cho thiết bị cũ.

Mất điện thoại khi đã bật 2FA thì xử lý thế nào? Người dùng thường có thể dùng mã xác minh khẩn cấp gửi qua email nếu quản trị viên cho phép. Quản trị viên thì không đặt lại bằng email được mà phải soft reset, nên hãy tạo sẵn tài khoản quản trị thứ hai và lưu mã dự phòng.

Nên chạy Security Advisor bao lâu một lần? Nên đặt lịch quét định kỳ và nhận báo cáo hằng ngày hoặc hằng tháng. Với NAS có nhiều người dùng, quét thủ công thêm sau mỗi lần thay đổi cấu hình lớn.

Thông tin liên quan

• Hướng dẫn chống ransomware cho NAS: 8 biện pháp bảo vệ dữ liệu

• RAID là gì, các chuẩn RAID thông dụng
• Checklist bảo mật FortiGate
• FortiGate best practice hardening

Nguồn tham khảo

Nội dung được tổng hợp từ tài liệu của Synology và các cơ quan an ninh mạng, kiểm tra lần cuối ngày 29/10/2026. Tên menu có thể khác đôi chút giữa DSM 7.2, 7.3 và 7.4.

• Synology-SA-26:13 DSM
• CSA Singapore: Multiple Vulnerabilities in Synology DiskStation Manager (DSM)
• Synology: Security & Sign-in Protection (DSM 7.4)
• Synology: Secure SignIn (DSM 7.4)
• Synology: 2-Factor Authentication, Control Panel > Security > Account
• Synology: What can I do to enhance the security of my Synology NAS?
• Synology: How do I create firewall rules
• Synology: Firewall (Control Panel)
• Synology: Force DSM desktop to use HTTPS
• Synology: Services/packages affected when disabling the admin account
• Synology: Unable to disable the guest account
• Synology: File Services & Protocols (DSM 7.4)
• Synology: Lost access to shared folders via SMB after updating to DSM 7
• Synology: What is an immutable snapshot?
• Synology Blog: When Only Immutable Backups Survive
• Synology: How can I back up my Synology NAS?
• Synology: Hyper Backup, data backup settings
• Synology: Security Advisor