工程師思路系列・事出必有因

.L0CK3D 勒索攻擊：C3RB3R（Cerber）以及 PHP2Shell 漏洞 這類越來越多的事件，大力敲響了所有 NAS 廠商的資安警鐘。如果沒辦法像手機或電腦作業系統本身那樣的防護程度，就更難奢言「對外服務的伺服器」有縝密資安防護的可能性。

NAS 買回來，多數人的第一個念頭是：「我出門在外，也想看到家裡或公司的檔案。」於是設定 DDNS、在路由器開幾個埠轉發，或是直接點開廠商的雲端連線服務。十分鐘搞定，方便得很。

但從網路的另一端看過來，你的 NAS 只是一台「有登入頁、有版本號、有開放服務」的 Linux 伺服器。自動化掃描工具不會管你是公司還是家庭，它們只問一件事：這台有沒有已知漏洞可以用？

這篇把兩件事講清楚：公開在網路上的伺服器會遇到哪些偵查與攻擊，以及只想給特定的人使用時，連線該怎麼設計。文末附上一份可以直接拿去勾的「快速自檢表」。

先認識這 8 個詞，再往下讀
文中帶徽章或虛線底線的術語，滑鼠移上去會顯示說明；手機沒有滑鼠提示，請看這個表，或直接跳到 文末術語表。
術語 一句話
RCE 遠端程式碼執行。攻擊者從網路上讓你的 NAS 執行他的指令，最嚴重的漏洞類型
CVE CVSS CVE 是漏洞編號，CVSS 是嚴重度分數（0 到 10）
KEV 美國 CISA 公布的「已確認被實際利用」漏洞清單
MFA 多因素驗證。密碼之外再加一道，例如手機驗證碼
VPN ZTNA 先通過一道受控的加密通道再連 NAS，NAS 本身不對網際網路開放
UPnP 讓設備自動叫路由器「幫我開洞」的功能，常在你不知情時開了門
中繼 原廠遠端服務的運作方式之一，連線先到原廠伺服器再轉到你的 NAS
Immutable Backup 不可變備份。寫入後一段時間內，連管理員也改不了、刪不掉
先講結論
✔

最危險的組合是 RCE（Remote Code Execution，遠端程式碼執行）＋ 沒更新 ＋ 直接對外。
✔

對外開放的是「服務」，不是「檔案」。每多開一個服務，就多一份要長期追蹤的漏洞清單。
✔

只給自己人用，就不要開埠，改走 VPN 或 ZTNA（零信任隧道）。
✔

個人、家庭、工作室：不需要外出存取就什麼都不開；需要的話，裝 Tailscale 類的零信任隧道就好。企業：入口收斂到防火牆的 VPN＋MFA，NAS 不對外。詳見第四節，直接照你的類型做。
✔

勒索軟體會連快照一起刪，要有一份攻擊者碰不到的 離線／不可變備份。
11
QNAP 列入 CISA KEV 的漏洞數
（截至 2026 年 7 月）
9
其中與勒索軟體
攻擊有關
14
QNAP 2026 年 6 月
一次修補的漏洞數
9.8
Synology BeeStation
CVE-2025-12686 的 CVSS
KEV ＝ CISA 的「已確認被實際利用」漏洞清單。資料來源見文末。

一、公開伺服器，會遇到哪些偵查與攻擊？

攻擊通常分兩段：先偵查（找到你），再攻擊（進得去）。

偵查階段：多半是自動化工具在做

手法 做法 為什麼是問題
埠掃描 Port Scan masscan、nmap 等工具可在短時間內掃過大量位址，找出開著的埠 你的服務「被看見」了
服務指紋 Fingerprinting Shodan、Censys 這類搜尋引擎早已建檔，登入頁、標頭、憑證都能辨識出 NAS 型號與版本 版本一露，對應哪些 CVE 就一目了然
帳號列舉 User Enumeration 從登入錯誤訊息或回應差異，猜出 admin、guest 是否存在 攻擊者只剩「猜密碼」這一步

攻擊階段：從猜密碼到拿下 root

攻擊類型 關鍵字 說明 後果
暴力破解、密碼填充 Brute Force
Credential Stuffing		 拿外洩的帳密組合，去試 SSH、SMB、網頁登入 弱密碼、重複使用的密碼直接淪陷
遠端程式碼執行 RCE 不需登入或只需低權限，就能在 NAS 上執行任意指令 拿到 root ＝ 完全控制
命令注入 Command Injection 網頁參數沒有過濾，被塞進系統指令。QNAP 2026 年 6 月修補的 CVE-2026-22893 即屬此類，可能以較高權限執行指令 常是 RCE 的前一步
路徑穿越 Path Traversal 用 ../ 讀到不該讀的檔案 設定檔、金鑰、他人資料外洩
驗證繞過 Auth Bypass
Broken Access Control		 不需正確帳密，或越權存取 管理介面形同虛設
套件漏洞 Package Vulnerability 相簿、下載、郵件、檔案分享等套件，程式碼量大、對外介面多 常是 OS 以外的突破口
勒索軟體 Ransomware DeadBolt、Qlocker、eCh0raix 等都專攻 NAS，加密資料後勒索 資料被鎖，快照與備份也可能被一併刪除
阻斷服務 DoS 送出超長檔名或畸形請求，讓服務程序崩潰或耗盡資源 服務中斷
跳板與挖礦 Botnet Miner 被植入後門，拿去攻擊別人或挖礦 效能下降、IP 被列黑名單
🔑 關鍵字　RCE（遠端程式碼執行）
白話　攻擊者在網路另一端，讓你的 NAS 執行他寫的指令，不需要碰到你的電腦。
為什麼最嚴重　一旦成功，通常就取得最高權限（root），能刪快照、關防護、加密資料。
怎麼防　不對外開放服務、系統與套件即時更新、閘道器開 IPS。

用 Cyber Kill Chain 與 MITRE ATT&CK 重新看一遍

🔑 關鍵字　Cyber Kill Chain　與　MITRE ATT&CK
Cyber Kill Chain（網路攻擊鏈）　洛克希德・馬丁公司提出的模型，把一次入侵拆成 7 個階段：偵察、武器化、遞送、利用、安裝、指揮與控制、達成目標。攻擊要走完才算成功，你只要在任一階段攔下來就贏了，所以防禦不必一次做到完美。
MITRE ATT&CK　由 MITRE 組織維護的公開知識庫，把真實攻擊者用過的戰術（TA 開頭）與技術（T 開頭的編號，例如 T1190）逐一編號。看到編號就能查到手法說明與對應的偵測、防護方式，可到 attack.mitre.org 查詢。
兩者怎麼搭配　Kill Chain 看「走到哪一步」，ATT&CK 看「用了什麼手法」。下面的表格把兩者並排，方便對照。

把上面的攻擊串成一條線，你會發現：防線不是只有一道，每個階段都有可以擋下來的地方。

Kill Chain 階段 ATT&CK 對應 在 NAS 上長什麼樣子 可以擋在哪
1 偵察
Reconnaissance		 TA0043
T1595 Active Scanning		 掃埠、查 Shodan、辨識版本 不暴露服務、來源 IP 限制
2 武器化／遞送
Weaponization & Delivery		 T1190 Exploit Public-Facing Application 針對已知 CVE 的攻擊程式直接打向登入頁或 API 及時更新、IPS／WAF
3 利用
Exploitation		 T1190
T1110 Brute Force
T1078 Valid Accounts		 RCE 成功，或猜中、盜用帳密 MFA、帳號鎖定、停用預設帳號
4 安裝／持久化
Installation		 T1505.003 Web Shell
T1059 Command and Scripting Interpreter		 植入 Web Shell、排程、後門 完整性檢查、日誌監控
5 指揮與控制
C2		 TA0011
Command and Control		 NAS 主動連回攻擊者的伺服器 閘道器的對外連線過濾、IPS
6 達成目標
Actions on Objectives		 T1490 Inhibit System Recovery
T1486 Data Encrypted for Impact		 刪快照、加密資料、勒索 離線／不可變備份
為什麼要在 NAS 前面再放一層「資安閘道器」

很多人心中的防護是「防毒軟體＋瀏覽器設定」，但那些保護的是使用者端的電腦，管不到對外的 NAS 服務。阻擋偵查、攻擊遞送與 C2 外連，是閘道器層（防火牆／UTM／IPS）能做、而電腦端防毒做不到的事。

二、近況：每一家都有案例

✔

QNAP，2026 年 6 月：一次修補 14 個漏洞，其中包含 CVE-2025-66273、CVE-2025-66279 與 CVE-2026-22893 等命令注入，後者可能以較高權限執行指令。
✔

CISA KEV：截至 2026 年 7 月，QNAP 有 11 筆漏洞列入「已被實際利用」清單，其中 9 筆與勒索軟體攻擊有關。
✔

DeadBolt，2022 年：QNAP 與 ASUSTOR 的 NAS 都曾因漏洞被利用而遭植入勒索軟體，檔案被加上 .deadbolt 副檔名。
✔

Synology BeeStation，Pwn2Own 2025 愛爾蘭站：被發現 CVE-2025-12686，CVSS 9.8，屬緩衝區溢位導致的遠端程式碼執行。細節與修補狀態請以 Synology 官方公告為準。
🔑 關鍵字　CVE ／ CVSS ／ KEV
白話　CVE 是漏洞編號；CVSS 是嚴重度分數（0 到 10，9.0 以上為 Critical）；KEV 是 CISA 公布的「已確認被實際利用」清單。
怎麼看　分數高不代表一定被攻擊，但只要出現在 KEV，就是真的有人在用，應優先修補。
怎麼做　查自己 NAS 的版本有沒有包含最新修補，並訂閱廠商資安公告。
提醒：不要拿 KEV 筆數替品牌排名

筆數會受到市占、研究者關注度與攻擊者投入程度影響，不等於「哪一牌比較安全」。真正該看的是三件事：你的版本有沒有修補、你的服務有沒有外露、廠商的修補速度與預設值。

三、只給限定使用者用，連線方式怎麼選？

原則只有一句：讓使用者來找 NAS，不要讓全世界都找得到 NAS。由穩到鬆排列如下。

方案 做法 難易度 適合誰 要注意
VPN
防火牆／路由器內建		 在防火牆或路由器架 WireGuard、IPsec 或 SSL VPN；使用者先連 VPN，再用內網位址連 NAS。對外只暴露一個可稽核的入口 ★★★　中
要懂埠、金鑰、用戶端設定		 企業、有 IT 人員的工作室 VPN 設備本身也是攻擊目標，要更新、要 MFA
ZTNA
零信任隧道
（Tailscale 這類）		 NAS 與手機、筆電各裝一個 App，登入同一組帳號即可互通；由內部主動往外連，NAS 不開任何入站埠 ★　低
不用懂埠轉發，多數人約半小時內可完成		 個人、家庭、工作室（首選） 依賴第三方服務與其帳號安全，該帳號務必開 MFA
原廠雲端中繼
（QuickConnect、myQNAPcloud、EZ-Connect）		 用原廠提供的 ID 或網址，從外面連回 NAS，幾乎一鍵完成 ★　低
最容易上手		 不得已、無法裝零信任隧道或 VPN 時的次佳選擇 登入頁仍摸得到，部分功能還會自動開洞，詳見下一節
反向代理＋前置驗證
（含 Cloudflare Tunnel＋Access）		 在 WAF／反向代理後面再轉到 NAS，加上 mTLS 或 SSO；或用隧道服務發布網頁 ★★★★　高
設定錯誤就變成破口		 有 IT 的企業，且必須對特定外部人員開放網頁服務 維運成本高，要有人長期負責
直接對外 來源 IP 白名單、MFA、自動封鎖、只開必要服務 ★　看似最簡單
但風險最高		 不建議任何人 一旦出現 RCE，就沒有第二道牆
改埠號不是防護

把 5000 改成 5555 只能減少一點掃描雜訊，Shodan 與 masscan 掃得出來。它不算防護，不能拿來取代更新與 MFA。

原廠的遠端連線服務（QuickConnect、myQNAPcloud、EZ-Connect）：能用嗎？

三大廠牌都內建了「在外面也能連回 NAS」的服務，設定幾乎一鍵完成，也因此最容易讓人以為「原廠做的，一定安全」。實際上它是方便的入口，不是安全機制。安不安全，要看它的運作模式和你的設定。

服務 運作方式 要留意
Synology
QuickConnect		 先嘗試「打洞」直連，失敗才改走 Synology 的中繼伺服器；功能清單中也包含透過 UPnP 自動轉埠 連線會經過原廠伺服器；任何人都能從網際網路嘗試登入你的 DSM 登入頁，帳號弱就會被暴力破解
QNAP
myQNAPcloud		 提供 DDNS、自動路由器設定（UPnP）、已發布服務，以及 myQNAPcloud Link（SmartURL） 自動轉埠與發布服務等於直接對外。QNAP 官方最佳實務是關閉 UPnP 埠轉發、不發布服務，改用 myQNAPcloud Link 或 QVPN，並把 Link 的存取控制設為 Private 或 Customized
ASUSTOR
EZ-Connect		 ADM 內建，協助完成遠端存取所需的路由器設定，並提供 ezconnect.to 網址 本質上包含「幫你開洞」。2022 年 DeadBolt 事件期間，ASUSTOR 一度停用 EZ-Connect、EZ Sync 與 ezconnect.to；外界推測它是入侵路徑之一，但這是推測，不是官方結論
判斷安不安全，問這三件事
✔

有沒有在路由器開洞？UPnP、自動轉埠、DDNS 加埠轉發，只要有，就等同直接對外。
✔

登入頁是不是仍然誰都摸得到？中繼模式不用開入站埠，攻擊面比直接對外小；但 RCE、Auth Bypass 這類漏洞照樣有效，只是多了一道門。
✔

你多信任了一個第三方。連線會經過原廠的伺服器，資料如何處理，以各家白皮書與隱私說明為準。
結論：次佳，不是首選

原廠中繼比「直接開埠對外」好，但不如零信任隧道或 VPN。能裝 Tailscale 或用 VPN，就不要靠原廠中繼；不得已要用，請照下面做。

🔑 關鍵字　UPnP
白話　讓內網設備自動叫路由器「幫我開個洞」的功能。
為什麼危險　你可能根本不知道 NAS 已經自己把埠開到網際網路上；原廠遠端服務的部分功能也會用到它。
怎麼防　路由器與 NAS 兩邊都關閉，改成手動確認每一條規則。

不得已要用原廠中繼時，降低風險的 7 件事

✔

關閉 UPnP 與自動路由器設定，手動檢查路由器沒有指向 NAS 的多餘規則；只用中繼，不要同時做 DDNS 加埠轉發。
✔

只開需要的服務（檔案、相簿），不開管理介面。Synology 可取消透過 QuickConnect 存取 DSM；QNAP 不發布服務，並將 Link 設為 Private 或 Customized。
✔

ID 名稱不要用公司名或本名（QuickConnect ID、Cloud ID、myQNAPcloud 名稱），避免被列舉。
✔

帳號：管理員啟用 MFA、停用預設 admin 與 guest、開自動封鎖、使用獨一無二的長密碼。
✔

開 NAS 內建防火牆（QNAP 可安裝 QuFirewall），可行時用 Geo-IP 限制來源國家。
✔

更新與復原：韌體與套件自動更新，EoL 機型不再使用；開異常登入通知；備份至少一份離線或不可變。
✔

只在需要時開。偶爾才外出存取的話，平常關閉遠端服務，要用再開。成本最低，效果不差。
最少做這四件

關 UPnP、不開管理介面、管理員 MFA、自動更新。做完能降低被入侵的機率，但不會變得跟 VPN 一樣安全，這點請務必讓社員知道。

資料時效

QNAP 的最佳實務頁面最後修改日期為 2022-12-16；各家服務的細節會隨版本調整，實際請以現行官方說明與你的機型為準。

不建議，但無法避免要直接對外時，最低限度的防線

✔

來源 IP 白名單，或至少限制國家／地區
✔

管理員帳號強制 MFA，停用預設 admin 與 guest
✔

啟用自動封鎖與帳號鎖定
✔

只開必要服務；關閉 UPnP、Telnet、不需要的 FTP，SMB（445） 絕不外露
✔

OS 與套件開自動更新，已不維護的套件直接移除
✔

強制 HTTPS，SSH 改用金鑰、關閉密碼登入
✔

NAS 放獨立 VLAN 或 DMZ，不讓它能主動連到內網其他主機
✔

備份做到 3-2-1，且至少一份離線或不可變

四、最後推薦：你是哪一類，照這一欄做就好

上面列了不少選項，但社團裡絕大多數是個人、家庭與工作室，沒有人天天在評估哪個方案比較難建置。所以這裡不再給選單，每一類只給一個答案。

你的情況 推薦做法（只選這個） 難易度 不要做
只在家裡或辦公室內使用，不需要外出存取 NAS 完全不對外，只做下面的 5 件基本防護 ★　低 為了「以後可能用到」先開著遠端存取
個人、家庭、工作室，需要外出存取 NAS 不開埠，手機與筆電裝 Tailscale 類零信任隧道，再做 5 件基本防護 ★　低
約 1 小時		 直接對外、只靠改埠號、廠商雲端中繼沒搭配 MFA
小型公司，沒有專職 IT 同上，再請委外 IT 做一次性盤點，之後每季檢查一次 ★★　低至中 員工離職後帳號沒停用、備份沒人檢查
企業，有 IT 或委外 入口收斂到防火牆／UTM 的 VPN＋MFA，NAS 不對網際網路開放，放獨立 VLAN ★★★　中至高
需有人長期維運		 讓 NAS 直接當對外網站或檔案入口

個人、家庭、工作室：照順序做，約一小時

1

先問自己：真的需要在外面連回 NAS 嗎？
不需要的話，什麼都不用開，這是最安全的狀態，直接做第 3、4、5 步。
2

需要的話，裝零信任隧道
在 NAS 與手機、筆電安裝 Tailscale 這類工具，登入同一組帳號即可互通，NAS 不用開任何入站埠。多數廠牌的套件中心有提供，實際請以你的機型為準；該帳號要開 MFA。
3

路由器：收掉所有洞
刪掉所有指向 NAS 的埠轉發，關閉 UPnP。NAS 的廠商雲端中繼（QuickConnect、myQNAPcloud 等）不用就關。
4

NAS：把帳號與更新顧好
停用預設 admin 與 guest、管理員帳號開 MFA、開啟自動更新、移除不用的套件。
5

備份：多留一份「平常不接著」的
外接硬碟備份完拔掉，或備份到雲端並開啟版本保留。目的是即使 NAS 被拿下，這一份也刪不到。
6

要把大檔交給客戶或外人時
用 Google Drive、OneDrive 這類雲端硬碟當對外窗口，不要讓對方直接連你的 NAS。
不確定自己能不能做完？先做 3 和 4

這兩步最簡單，效果也最大。遠端存取可以晚一點再處理，沒有遠端存取的 NAS，比有遠端存取卻沒顧好的 NAS 安全得多。

小型公司（沒有專職 IT）

✔

做法同上，並多加三件事：離職員工帳號當天停用、指定一個人每月看一次登入紀錄與備份狀態、每年做一次還原演練。
✔

請委外 IT 做一次性的對外狀況盤點（路由器、NAS、備份），之後每季檢查一次即可，不需要長期駐點。

企業（有 IT 或委外）

✔

對外入口收斂到防火牆／UTM：SSL VPN 或 IPsec ＋ MFA，NAS 完全不對網際網路開放。
✔

閘道器啟用 IPS、Geo-IP、Web Filter 與對外連線過濾，用來擋偵查與 C2 外連。
✔

NAS 放獨立 VLAN，只允許必要的來源與通訊埠。
✔

帳號整合 AD／LDAP，管理員使用獨立帳號並啟用 MFA。
✔

備份做到 3-2-1，且至少一份不可變或離線，每季一次還原演練。
✔

更新有固定維護窗口，訂閱廠商資安公告，並訂出 EoL 機型汰換時程。
✔

日誌集中（syslog／SIEM）並設定異常登入告警。
✔

必須對外協作時，用反向代理／WAF＋SSO，或把協作移到雲端服務，不要讓 NAS 直接當對外入口。
🔑 關鍵字　MFA（多因素驗證）
白話　登入除了密碼，再加一道，例如手機驗證碼、通行金鑰或實體金鑰。
為什麼重要　密碼被猜中或外洩時，攻擊者仍然進不來，能擋掉大部分的暴力破解與密碼填充。
怎麼做　管理員帳號優先開；使用 Tailscale 等第三方服務時，該帳號也要開。
🔑 關鍵字　3-2-1 與不可變備份
白話　3 份資料、2 種媒體、1 份異地或離線；其中一份寫入後一段時間內，連管理員也改不了、刪不掉。
為什麼重要　勒索軟體取得最高權限後會先刪快照與備份（ATT&CK 的 T1490）。快照存在同一台 NAS，不等於備份。
怎麼做　外接硬碟備份完拔掉，或雲端備份並啟用版本保留、物件鎖定。

五、快速自檢表（約 10 分鐘）

🔴 是紅旗項目，任何一項沒過，本週就處理。個人、家庭、工作室只要先把 🔴 的 7 項做完就很夠了，其他項目是縱深防禦，企業建議全部檢查。

勾 檢查項目 怎麼檢查／怎樣算過關
A　對外暴露
☐ 🔴 路由器沒有把 NAS 管理埠轉出去 登入路由器看「連接埠轉發／虛擬伺服器」。NAS 預設管理埠（DSM 5000/5001、QTS 8080/443、ADM 8000/8001）不該出現在對外規則裡
☐ 🔴 UPnP 已關閉 路由器與 NAS 兩邊都關；看路由器的 UPnP 對應表，有不認得的規則就是問題
☐ 🔴 SMB（445）、FTP、Telnet 沒有對外 這些服務不該暴露在網際網路上；需要遠端存取請走 VPN
☐ 雲端中繼服務有需要才開 QuickConnect、myQNAPcloud、ASUSTOR 雲端連線等，不用就關；要用就搭配 MFA
☐ 從外面實測過 用手機行動網路（關掉 Wi-Fi）試連自己的公網 IP 與管理埠；也可以用 Shodan 查自己的 IP
B　帳號與驗證
☐ 🔴 預設 admin、guest 已停用或改名 到使用者管理確認；不用的帳號直接刪
☐ 🔴 管理員帳號已啟用 MFA 沒有 MFA 的管理員帳號，等於把密碼當唯一的鎖
☐ 自動封鎖已啟用 失敗幾次就封鎖來源 IP；確認白名單裡沒有放進整段網路
☐ 密碼獨立且夠長 12 字元以上、不與其他網站共用，建議用密碼管理員
☐ 管理帳號與日常帳號分開 日常存取檔案不要用管理員身分
C　更新與維護
☐ 🔴 OS 在廠商仍維護的最新版本 登入後看系統版本，對照廠商最新公告
☐ 套件全部更新，不用的移除 套件中心逐一檢查；沒在用的就解除安裝
☐ 機型尚未 EoL 到廠商網站查機型的軟體支援期；EoL 機型不要再對外
☐ 有訂閱廠商資安公告 各家官網都有資安公告頁，訂閱信箱或 RSS
D　備份與復原
☐ 🔴 做到 3-2-1，且至少一份離線或不可變 要的是：就算攻擊者拿到 NAS 的 root，也刪不到的那一份
☐ 快照另有保護 快照在同一台 NAS 上，不等於備份；攻擊者會先刪快照（T1490）
☐ 做過還原演練 挑一個資料夾實際還原一次，確認備份真的可用
E　偵測
☐ 登入與異常警示通知已開 設定 Email 或推播通知，異常登入第一時間知道
☐ 日誌有留、有人看 至少每月看一次登入紀錄，找陌生 IP
☐ 沒有異常副檔名的檔案 見下方指令，檢查是否有 .deadbolt 痕跡

進階檢查（需先在 NAS 啟用 SSH，用完記得關閉）：

# 檢視本機正在監聽哪些服務與埠（若有 ss 也可改用 ss -tlnp）
netstat -tlnp

# 檢查是否有 DeadBolt 勒索軟體痕跡（CERT NZ 公告的做法）
sudo find / -type f -name “*.deadbolt”

怎麼判讀
✔

🔴 共 7 項全過：基本盤穩，可以繼續補其他項目。
✔

🔴 有任一項沒過：先處理那一項，再談其他。
✔

🔴 沒過超過 3 項：建議這台 NAS 先離開網際網路，改走 VPN，再慢慢補。

六、不知道從哪查起？先用 NAS 內建的檢查工具

社團裡大多數人不會用掃描器，也不需要。三大廠牌都有內建工具，先用它們把設定檢查一遍，再補一個「從外面看」的檢查，就比大多數人做得好。

廠牌 工具 會做什麼 能不能幫你修
Synology Security Advisor
（DSM 預裝，主選單可找到）		 檢查 DSM 設定風險、密碼強度、系統與套件更新、可疑登入與暴力破解，並偵測惡意程式；結果分 Good、Warning、At Risk、Danger 四種狀態，可排程掃描並用 Email 通知 會列出建議處置，點進去照做；可在進階設定選擇安全基準（例如商用）
QNAP Security Center
（App Center 安裝；早期名稱 Security Counselor）		 安全檢查掃描、可排程，並集中管理 Antivirus、Malware Remover、QuFirewall；首次啟動要先選安全政策 可套用建議設定；通常不是預裝，要自己到 App Center 安裝
ASUSTOR ADM Defender
（ADM 5.0 以上）		 偏「防護」而不是「評分」：防火牆設定檔（預設有「僅限內網」與「僅限地域性網際網路」）、智慧安全防護封鎖可疑 IP、信任清單；風險 IP 偵測需自行申請 AbuseIPDB 的 API 金鑰 我沒有查到類似一鍵評分的內建檢查工具，建議搭配本文第五節的自檢表
綠燈不等於安全

內建工具檢查的是NAS 自己的設定與已知惡意程式。它看不到你的路由器是不是開了洞，也不保證沒有尚未修補的漏洞。所以除了內建檢查，還要補一個「從外面看」的檢查。

從外面看：一般用戶只要做這兩件事

1

用手機行動網路實測
關掉 Wi-Fi，用手機網路試著連你的公網 IP 與 NAS 管理埠。連得上，就代表對外開著。
2

到路由器看一次埠轉發與 UPnP 對應表
有不認得的規則或指向 NAS 的規則，就是第四節要處理的對象。

有 IT 基礎者與企業：開源工具

工具 用途 難易度 注意
Nmap 從外部網路掃自己的公網 IP，看有哪些埠開著、跑什麼服務 ★★★　中 要從別的網路（例如手機熱點）掃，才看得到真實的對外狀態；在內網掃會漏掉防火牆規則的影響
Greenbone
（原 OpenVAS）		 對多台設備做已知漏洞的弱點掃描 ★★★★　高 安裝與維護有門檻，適合有 IT 的環境
Lynis Linux 主機的設定稽核；作者表示也能在 NAS 這類設備上執行 ★★★★　高 需要 SSH 登入，也要看得懂報告，不建議一般用戶使用
品牌專屬的開源檢查工具？

我沒有找到可信的、針對特定 NAS 品牌的開源資安檢查工具。原廠內建的工具，就是品牌專屬的方案；開源工具都是通用型，需要一定的技術門檻。對佔多數的個人與家庭用戶，最實用的組合是：內建檢查工具＋本文的自檢表＋手機行動網路實測。

建議每月做一次
✔

開啟內建檢查工具，掃描並處理紅色與黃色項目。
✔

對照第五節的 🔴 紅旗項目。
✔

確認系統與套件已更新，並確認備份能還原。
提醒：只掃自己的設備

Nmap、Greenbone 這類工具只能用在你自己擁有或獲得授權的設備上。掃描也可能造成服務短暫異常，請避開上班時間。

七、想聽聽大家的做法

✔

你有在用原廠內建的安全檢查工具嗎？多久跑一次？它給你的建議實用嗎？
✔

你的 NAS 現在有開哪些對外埠？為什麼需要？
✔

遠端存取你用 VPN、零信任隧道，還是廠商雲端中繼？用起來順不順？
✔

你的 NAS 的更新是自動還是手動？上次更新是什麼時候？
✔

有沒有人真的做過一次還原演練？結果如何？
事出必有因

NAS 被打進去，很少是因為駭客特別厲害，多半是「服務被看見」加上「版本沒更新」。把入口收起來、把更新做好、把備份留在攻擊者碰不到的地方，三件事做到，就已經贏過大多數被掃到的機器。如果你想請人幫忙盤點現有 NAS 的對外狀況，歡迎來電洽詢：04-22077066。

附錄、術語表

文中出現的術語依主題整理如下。看到不懂的詞，回到這裡查就好。

術語 白話說明
攻擊與漏洞
RCE
Remote Code Execution　遠端程式碼執行		 攻擊者從網路上讓你的 NAS 執行他的指令
最嚴重的一類漏洞。取得最高權限（root）就等於完全控制
Command Injection
命令注入		 輸入沒被過濾，被當成系統指令執行
常是 RCE 的前一步
Path Traversal
路徑穿越		 用 ../ 跳出允許的資料夾，讀寫不該碰的檔案
Auth Bypass
驗證繞過		 不用正確登入或越權就能使用功能
與 Broken Access Control（存取控制失效）同類
Broken Access Control
存取控制失效		 帳號可以做超出權限的事，與驗證繞過同類
0-day
Zero-day　零時差漏洞		 廠商還沒修補，攻擊就已出現的漏洞
Brute Force
暴力破解		 用程式大量嘗試帳號密碼
Credential Stuffing
密碼填充		 拿外洩的帳密組合去試其他網站或設備
不同網站共用密碼就容易中招
Ransomware
勒索軟體		 把資料加密再勒索贖金的惡意程式
DeadBolt、Qlocker、eCh0raix 都曾專打 NAS
DeadBolt 2022 年專打 QNAP、ASUSTOR NAS 的勒索軟體
加密後的檔案會帶 .deadbolt 副檔名
DoS
Denial of Service　阻斷服務		 用異常請求讓服務當機或資源耗盡
Botnet
殭屍網路		 被植入後門、受遠端控制的一群設備
Miner
挖礦程式		 偷用你的運算資源去挖加密貨幣
Web Shell
網頁後門		 植入伺服器的網頁程式，讓攻擊者持續下指令
C2
Command and Control　指揮與控制		 被入侵的設備連回攻擊者伺服器接收指令
Port Scan
埠掃描		 大量探測哪些網路埠有開、跑著什麼服務
Fingerprinting
服務指紋辨識		 從回應內容判斷設備型號與版本
User Enumeration
帳號列舉		 藉回應差異猜出某個帳號是否存在
Package Vulnerability
套件漏洞		 NAS 附加套件（相簿、下載等）本身的漏洞
Shodan 搜尋公開在網路上的設備的搜尋引擎
Censys 是同類服務
Censys 與 Shodan 同類的設備搜尋引擎
漏洞情資與標準
CVE
Common Vulnerabilities and Exposures		 漏洞編號，像漏洞的身分證字號
CVSS
Common Vulnerability Scoring System		 漏洞嚴重度分數，0 到 10 分
9.0 以上視為 Critical
KEV
Known Exploited Vulnerabilities		 CISA 公布的「已確認被實際利用」漏洞清單
出現在這裡，代表真的有人在用，應優先修補
CISA
Cybersecurity and Infrastructure Security Agency		 美國網路安全暨基礎設施安全局
EoL
End of Life		 廠商不再提供更新的機型或版本
繼續對外使用就是裸奔
Pwn2Own 資安界的漏洞破解競賽，現場示範攻破主流產品
Cyber Kill Chain
網路攻擊鏈		 把攻擊拆成偵察到達成目標的 7 個階段
每個階段都是一次攔截機會
MITRE ATT&CK 把攻擊者手法分門別類的公開知識庫
T1190 之類是技術編號，TA 開頭是戰術
連線與防護
MFA
Multi-Factor Authentication　多因素驗證		 登入除了密碼，再加手機驗證碼或金鑰
能擋掉大部分密碼外洩造成的入侵
VPN
Virtual Private Network　虛擬私有網路		 先通過一道受控的加密通道，再連到內網設備
ZTNA
Zero Trust Network Access　零信任網路存取		 依身分與裝置逐次授權，不開入站埠的連線方式
Tailscale、Cloudflare Tunnel 屬此類
Tailscale 讓你的設備組成私有網路的零信任隧道服務
需信任其服務與帳號安全
WireGuard 輕量、新型的 VPN 協定
IPsec 企業常用的 VPN 協定
反向代理
Reverse Proxy		 擋在伺服器前面，代替它接收外部請求
可在這裡加上驗證與過濾
WAF
Web Application Firewall		 專門過濾網頁攻擊流量的防火牆
IPS
Intrusion Prevention System　入侵防護系統		 偵測並即時阻擋已知攻擊特徵的流量
UTM
Unified Threat Management		 整合防火牆、IPS、網頁過濾等功能的設備
即一般說的資安閘道器
資安閘道器 擋在網路出入口的防火牆／UTM 設備
Geo-IP 依 IP 所屬國家／地區做允許或封鎖
mTLS
Mutual TLS　雙向憑證驗證		 連線雙方都要出示憑證才放行
SSO
Single Sign-On　單一登入		 用同一組身分登入多個系統
VLAN
Virtual LAN　虛擬區域網路		 把同一個實體網路切成互不相通的網段
DMZ
非軍事區		 放在內外網之間、與內網隔離的區域
路由器的「DMZ 模式」則是把設備整個暴露出去，兩者不同
UPnP
Universal Plug and Play		 讓內網設備自動叫路由器「幫我開個洞」的功能
你可能不知道 NAS 已自己把埠開到網際網路上
DDNS
Dynamic DNS　動態網域名稱		 讓浮動 IP 也能用固定網址連回來
通常搭配埠轉發使用
埠轉發
Port Forwarding		 在路由器上把外部連線導向內網某台設備
等於直接對外開放該服務
SMB
Server Message Block		 Windows 網路芳鄰使用的檔案分享協定（埠 445）
絕不外露
原廠遠端服務
中繼
Relay		 連線經由原廠伺服器轉送，不必在路由器開埠
多信任一個第三方
打洞
Hole Punching		 讓兩端設備在不開埠的情況下建立直連
失敗才改走中繼
QuickConnect
Synology		 Synology 的遠端連線服務
myQNAPcloud
QNAP		 QNAP 的遠端連線服務，含 DDNS 與 Link
EZ-Connect
ASUSTOR		 ASUSTOR 的遠端連線服務（ezconnect.to）
檢查工具
Security Advisor
Synology		 DSM 預裝的安全檢查工具，掃描設定風險、密碼強度與惡意程式
結果分 Good、Warning、At Risk、Danger
Security Center
QNAP		 QNAP 的安全檢查與安全應用程式管理中心
早期名稱為 Security Counselor
ADM Defender
ASUSTOR		 ASUSTOR ADM 5.0 以上的防火牆與可疑 IP 封鎖工具
偏防護，不是評分型檢查
Nmap 開源的網路埠掃描工具，可從外部看你的 IP 開了哪些埠
要從別的網路（例如手機熱點）掃，才看得到真實對外狀態
Greenbone
OpenVAS		 開源的弱點掃描平台，對多台設備做已知漏洞檢測
安裝與維護有門檻，適合有 IT 的環境
Lynis 開源的 Linux 主機設定稽核工具
需要 SSH 登入，也要看得懂報告
備份與偵測
3-2-1 3 份資料、2 種媒體、1 份異地或離線
Immutable Backup
不可變備份		 寫入後一段時間內，連管理員也改不了、刪不掉的備份
雲端常稱物件鎖定（Object Lock）
快照
Snapshot		 某一時間點的資料狀態紀錄，可快速還原
存在同一台 NAS，不等於備份
SIEM
Security Information and Event Management		 集中收集與分析日誌、發出告警的系統
syslog 設備把日誌送到集中伺服器的標準做法
LDAP
Lightweight Directory Access Protocol		 目錄服務協定，常與 AD 搭配統一管理帳號
資料來源（截至 2026-11-05）
QNAP Patches 14 Dangerous Flaws Affecting NAS Systems
Exploited CVEs / QNAP（Senserva，整理自 CISA KEV）
QNAP and Asustor NAS vulnerabilities exploited to deploy ransomware（CERT NZ）
ThreatCluster：Synology BeeStation CVE-2025-12686 條目
QNAP：What are best practices for enhancing NAS security?
ASUSTOR NAS 221：遠端存取，使用 EZ-Connect
Asustor NAS Drives getting hit by Deadbolt Ransomware（NAS Compares）
Synology QuickConnect 運作原理（官方手冊轉載）
Synology：Security Advisor 說明
QNAP：Security Center Quick Start Guide
ServeTheHome：Secure your QNAP NAS（Security Counselor 介紹）
ASUSTOR NAS 311：使用 ADM Defender
Help Net Security：Lynis
Best Free Security Audit Tools（Nmap、Greenbone、Lynis 比較）
Synology QuickConnect: Security, Alternatives, and Best Practices（TechRounder）
MITRE ATT&CK 技術編號請對照 attack.mitre.org。
作者：Mr. τ　／　風雲網通系統
NAS　資安　RCE　VPN　ZTNA　勒索軟體　CISA KEV　Cyber Kill Chain　MITRE ATT&CK　自檢表
Last modified: 2026-11-05

Author

Comments

Write a Reply or Comment

Your email address will not be published.