Votre NAS est-il visible depuis Internet ? Comment le vérifier en dix minutes

Le NAS, c'est souvent le coffre de l'entreprise : la comptabilité, les devis, les plans, les photos de chantier, parfois les sauvegardes des postes. Et c'est souvent aussi l'appareil le plus exposé du réseau, parce qu'un jour quelqu'un a voulu ouvrir un dossier depuis chez lui et qu'on a « ouvert un accès ».

Cet accès est resté ouvert. La question est de savoir qui d'autre peut l'utiliser.

En janvier 2022, le rançongiciel DeadBolt a chiffré plus de 3 600 NAS QNAP en quelques jours. La rançon demandée était d'environ 1 000 € par appareil. La consigne du fabricant tenait en une ligne : cessez d'exposer votre NAS à Internet.

Pourquoi un NAS exposé est une cible facile

Les attaquants ne vous cherchent pas, vous. Des robots parcourent Internet en permanence et repèrent tous les appareils qui répondent : marque, modèle, version du système. Quand une faille est publiée sur un modèle, la liste des appareils à attaquer existe déjà.

Deux scénarios reviennent sans cesse :

• La faille non corrigée. Le NAS n'a pas été mis à jour depuis des mois, et une vulnérabilité connue permet d'entrer sans mot de passe. C'est le cas DeadBolt.
• Le mot de passe deviné. En juillet 2019, Synology a alerté ses clients après une vague d'attaques : aucune faille du système, seulement des milliers d'essais automatiques sur le compte « admin » jusqu'à trouver le bon mot de passe.

Dans les deux cas, le résultat est le même : fichiers chiffrés, demande de rançon affichée à la place de la page de connexion.

Vérifier en dix minutes

Vous n'avez pas besoin d'être technicien pour les trois premiers contrôles.

1. Le test du téléphone. Coupez le wifi de votre téléphone pour passer en 4G ou 5G. Essayez d'ouvrir l'adresse que vous utilisez pour joindre le NAS de l'extérieur. Si la page de connexion s'affiche, n'importe qui dans le monde la voit aussi.
2. Les redirections de ports de la box. Connectez-vous à l'interface de votre box et cherchez la rubrique « NAT », « redirection de ports » ou « transfert de ports ». Chaque ligne qui pointe vers le NAS est une porte ouverte sur Internet.
3. L'UPnP. Cette fonction permet aux appareils d'ouvrir eux-mêmes des ports sur la box, sans vous prévenir. Si elle est activée sur la box et sur le NAS, des accès ont pu s'ouvrir sans que personne ne le décide.
4. Les services du NAS. Dans le panneau de configuration du NAS, regardez ce qui est activé : accès distant du fabricant, partage de fichiers par lien, serveur web, FTP. Tout ce qui ne sert pas doit être coupé.

Si votre NAS est exposé : quoi faire, dans l'ordre

• Supprimez les redirections de ports vers le NAS et désactivez l'UPnP sur la box comme sur le NAS. C'est ce que QNAP a demandé à ses clients après DeadBolt.
• Mettez le système du NAS à jour, puis activez les mises à jour automatiques.
• Désactivez le compte « admin » par défaut et créez un compte administrateur à votre nom, avec un mot de passe long et unique.
• Activez le blocage automatique des adresses qui échouent plusieurs fois à se connecter, et la double authentification pour les comptes administrateurs. Ce sont les recommandations formulées par Synology en 2019.
• Regardez les journaux de connexion. Des centaines d'échecs depuis l'étranger signifient que le NAS est déjà visé. Une connexion réussie que personne ne reconnaît doit être traitée comme une intrusion.

Et pour travailler à distance, alors ?

Il ne s'agit pas de renoncer à l'accès à distance, mais de changer de méthode. Au lieu d'exposer le NAS à tout Internet, on passe par un VPN : un tunnel chiffré, réservé aux appareils et aux personnes autorisés. De l'extérieur, le NAS n'existe plus. Pour vos collaborateurs, il s'ouvre comme au bureau.

Le NAS n'est pas une sauvegarde

Dernier point, souvent découvert trop tard : si vos sauvegardes sont sur le NAS et que le NAS est chiffré, vous perdez les deux en même temps. Il faut une copie ailleurs, déconnectée ou hors site, et il faut avoir essayé au moins une fois de restaurer un fichier.

Ce que vous pouvez faire maintenant

• Faites le test du téléphone aujourd'hui.
• Ouvrez l'interface de la box et notez les redirections de ports existantes.
• Vérifiez la date de la dernière mise à jour du NAS.
• Demandez-vous où se trouve votre dernière sauvegarde qui ne soit pas sur le NAS.

Sources

• IT-Connect, « QNAP : le ransomware DeadBolt chiffre des milliers de NAS », 28 janvier 2022
• StorageReview, alerte de Synology sur les attaques par force brute, juillet 2019
• Cybermalveillance.gouv.fr, La sécurisation du télétravail