NAS servery, kamery, tiskárny, routery nebo jiné interní systémy mají často sloužit jen lidem uvnitř firmy. Přesto se někdy kvůli pohodlí nastaví tak, aby byly dostupné odkudkoliv z internetu.
Typicky proto, že se chce někdo dostat k souborům z domova, externí účetní potřebuje dokumenty, majitel chce vidět kamery na mobilu nebo dodavatel vzdáleně spravuje zařízení.
Technicky je to jednoduché. Na routeru se otevře port, zapne se přesměrování nebo UPnP a zařízení je dostupné zvenku.
Problém je, že tím se nestane dostupné jen vám. Stane se dostupné celému internetu.
Proč je to problém
Zařízení vystavené do internetu může kdokoliv najít, skenovat a zkoušet napadnout. Útočník ani nemusí vědět, že vaše firma existuje. Automatizované nástroje neustále prohledávají internet a hledají otevřené služby, staré verze systémů, slabá hesla nebo známé chyby.
U NAS serverů je riziko ještě větší, protože na nich často leží firemní dokumenty, smlouvy, účetnictví, klientská data, know-how nebo zálohy. Pokud se k nim někdo dostane, může data ukrást, smazat nebo zašifrovat ransomwarem.
Zvlášť nebezpečné je, když NAS slouží jako záloha a zároveň je přímo dostupný z internetu. V takovém případě může firma při útoku přijít nejen o pracovní data, ale i o místo, ze kterého se chtěla obnovit.
Stejný princip platí i pro kamery, routery, tiskárny nebo administrační rozhraní různých systémů. Nejde jen o samotné zařízení. Útočník ho může použít jako cestu dál do sítě.
Jak to řešit bezpečněji
Vzdálený přístup nemusí znamenat, že interní zařízení vystavíte celému světu.
Bezpečnější princip je:
Nejdřív se bezpečně připojit do firemní sítě. Teprve potom přistupovat k NASu nebo jiným interním zařízením.
K tomu slouží VPN nebo modernější nástroje typu Tailscale. Uživatel se nejdřív ověří a získá přístup jen k tomu, k čemu ho opravdu potřebuje. NAS nebo jiné zařízení tak není volně viditelné pro celý internet.
Pro uživatele to může být pořád pohodlné. Rozdíl je v tom, že se k zařízení nedostane kdokoliv, kdo ho najde při automatickém skenování internetu.
Co zkontrolovat
Začněte jednoduše:
- Máte na routeru nastavené přesměrování portů na NAS, kameru nebo jiné interní zařízení?
- Je zapnuté UPnP, které může porty otevírat automaticky?
- Je z internetu dostupné přihlašovací rozhraní NASu, routeru, kamer nebo jiných systémů?
- Používáte VPN, Tailscale nebo jiný bezpečnější způsob vzdáleného přístupu?
- Máte zařízení aktualizovaná a chráněná silným heslem a vícefaktorovým ověřením, kde je to možné?
Pohodlí nesmí znamenat ztrátu kontroly
Je pochopitelné, že firma chce mít k souborům nebo interním systémům přístup odkudkoliv. Vzdálená práce, externí účetní nebo správa dodavatelem jsou běžná realita.
Přímé vystavení NASu nebo jiného interního zařízení do internetu je ale zbytečně riziková zkratka.
Lepší je použít VPN, Tailscale nebo jiné řešení privátního přístupu. Firma si tím zachová pohodlí, ale zároveň výrazně sníží riziko, že se k jejím datům a zařízením dostane někdo nepovolaný.
Pokud si nejste jistí, jestli máte NAS, router, kamery nebo jiná interní zařízení dostupná z internetu, můžeme společně projít vaše nastavení a navrhnout bezpečnější způsob vzdáleného přístupu.