群晖 NAS 勒索病毒防护与应急响应指南：12 项加固动作 + 中招处置五步 2026

一、威胁画像：勒索病毒为什么专挑 NAS

NAS 天然处在一个很尴尬的位置。它既是全公司数据的唯一集中存放点，又常常为了方便远程访问被直接暴露在公网上。一旦被攻破，攻击者拿到的不是一台机器，而是几年的业务资料、合同影像和设计源文件。

换句话说，NAS 是整个内网里「价值最高、防护最弱」的那台设备。一台普通员工电脑被加密，损失的是一个人的文件；NAS 被加密，损失的是所有人的文件，而且往往是那台本来用来兜底的设备。

近期事件的三个特征

后果不可逆。许多 NAS 设备被入侵加密后，系统崩溃、文件被加密、数据永久丢失，重要资料无法恢复。不是「重装一下就好」，而是几年积累直接归零。

先杀备份。被加密的不只是生产数据，攻击者会优先删除、篡改普通快照与备份——这直接击穿了「我有备份」的心理防线。很多人第一时间想到「反正有快照」，结果发现快照管理界面里空空如也。

入口明确。大量中毒案例的共同诱因是暴露面过大：DSM 管理界面、SSH 等端口被直接映射到互联网，被全网扫描后遭暴力破解或漏洞利用。攻击不需要多高明的手法，只需要你忘了关一个端口映射。

二、五分钟自测：你的 NAS 属于哪个风险等级

先别急着配置。用下面这条标准判断一下自己现在处在什么位置，再决定投入多少精力。

如果你现在能用「公网 IP + 5000/5001 端口」在浏览器里打开 DSM 登录页，那么你的 NAS 正在被每天扫描，属于高危状态。

这句话可以拆成三个判断点，逐项对照：

① 有公网 IP 且做了端口映射。路由器上把 5000、5001、22 这类端口映射到了 NAS 的内网地址。这是最高危的配置，等于把管理后台挂在互联网上等人来敲门。

② 只用了 QuickConnect 远程访问。这种情况属于中等风险。走 QuickConnect 不直接暴露 DSM 端口，但账号本身仍然是攻击目标，弱口令一样会被撞开，所以密码强度和双重验证不能省。

③ 只在内网访问，或远程走 VPN。这是低风险。但低风险不等于没风险——员工电脑中招后以 NAS 为跳板横向加密的案例同样常见，所以下面第 3 章的加固动作仍然要挑着做。

顺带澄清一个常见误解：RAID 不是备份。RAID 只解决「硬盘坏了」，解决不了「文件被加密」和「被人删了」。加密是从文件系统层覆盖写入的，RAID 会忠实地把加密后的内容同步到每一块盘。

三、攻击链路还原：五个阶段与各自的阻断点

把各种案例的线索串起来，一次成功的勒索攻击通常走这五步。每一步都有对应的阻断点，看清楚哪一步是你的责任区，加固就不会盲目。

可以看出：前四步都在你的控制范围内。勒索病毒的防护没有单点银弹，本质是把这四道门逐一关上——第 3 章之后的内容，就是按这个逻辑排的。

特别要强调第 ④ 步里的「删除或篡改快照与备份」。这是很多企业真正吃亏的地方：配置了快照，以为万事大吉，但快照跟着 NAS 走，管理员账号一旦被攻陷，快照就能被删除。所以后面会把「不可变快照」单独拎出来作为 P0 中的 P0。

四、中招后的第一条规矩：断网，但别自己更新和重启

如果确认已经被入侵——文件被改名加密、出现勒索信、共享文件夹无法访问——处置顺序比处置手段更重要。顺序错了，备份也会一起报废。

但在说五步处置之前，先记住一条最容易违反的规矩。

⚠️ 中毒后的系统更新 / 重启，不要自己动手

已经被感染或高度疑似中招的设备，不要自行安装 DSM 系统更新，也不要自行重启。必须先联系群晖原厂技术支持，在原厂技术指导下操作。

原因有两层。第一，重启会重新加载引导流程、拉起套件与计划任务，可能让潜伏的恶意程序再次执行，或者完成剩余的加密。第二，带着恶意程序装更新，既可能把后门「继承」到新版本上，也会破坏取证线索——你之后再想查它是怎么进来的，日志已经对不上了。

正确做法是：断网隔离 → 记录现象与日志 → 联系原厂技术 → 严格按其顺序与步骤操作（何时更新、何时重启、是否先清理）。这不是流程洁癖，是避免二次伤害。

五、中招后的处置五步：顺序不能乱

下面这五步是按实战顺序排的。可以打印出来，贴在机房或者丢进运维群置顶——真出事的时候人是慌的，靠临场判断容易错。

第 3 步为什么最关键

因为它决定了你还有没有退路。攻击者会优先删除快照，所以你必须先确认三件事：快照还在不在、快照的时间点是否早于入侵时间、备份存储是否也被同一套凭据访问过。

在确认之前，不要用现有备份去覆盖任何东西。这条听起来反直觉——备份不就是用来覆盖的吗？但如果备份里的数据本身已经被加密，或者备份存储和 NAS 用的是同一个管理员凭据（攻击者也能删），那你覆盖上去就是把最后一份干净数据也毁掉。先把备份盘拔下来、设为只读，或者干脆物理断开，再慢慢判断。

第 5 步为什么要「重建」而不是「修复」

被攻陷过的 DSM，你无法确定后门留在哪里：可能是一个隐藏的计划任务，可能是一个改了名字的管理员账号，可能是一个被替换过的套件二进制文件。逐项排查的成本远高于重装。

重建的正确顺序是：重装系统 → 重置所有凭据（包括套件账号、API Key、用于备份的账号密码）→ 按第 3 章逐项加固 → 最后才恢复数据。如果顺序反过来，先恢复数据再加固，等于把数据重新放回一个还不安全的盒子里。

重装与恢复的具体步骤请由原厂技术指导执行，不要自行摸索。尤其是涉及存储池重建的操作，一步错可能把还能救的数据彻底弄没。

如果已经中招、又不确定下一步该按什么顺序做，可以直接找我：微信 / 手机 17712677007，先把现象说清楚——哪些文件被改了名、有没有勒索信、快照列表里还剩几个时间点——我帮你判断先做哪一步、哪些动作千万别做。这类事最怕的不是没人帮忙，而是慌乱中把还能救的数据一起毁掉。

六、P0 四项：时间有限就先做这四件

下面这份清单把各类建议合并去重后按优先级整理。如果你的时间有限，先做 P0 的四项，它们能挡掉绝大多数攻击。四件事全是配置层面的动作，不花钱，一个下午能做完。

P0-1 收敛暴露面：把 DSM 藏回内网

这是大量中毒案例的首要诱因，也是投入产出比最高的一步。

把 NAS 及 DSM 管理界面部署在内网，不要直接向互联网开放。确需远程访问时，通过 VPN、访问白名单、多因素认证（MFA）限制访问来源。不建议把 DSM（5000/5001）、SSH（22）等端口直接映射到公网。

很多人会问：那我怎么在外面访问文件？答案是分层——文件级访问用 Synology Drive 或 WebDAV 走反向代理，管理级访问一律走 VPN。管理后台永远不出网，这是底线。

P0-2 不可变快照：最后一道防线，为什么它排在备份前面

普通快照跟着 NAS 走：管理员账号被攻陷，快照就能被删除。而攻击者会优先删除、篡改普通快照与备份，这一点在多个案例中反复出现。

不可变快照（WORM 机制）在保护周期内不可删除、不可修改、不可加密——哪怕管理员账号已经沦陷。这是对抗勒索病毒最核心的手段之一，也是「中了也能救回来」的真正底牌。

配置上有三点要注意：为重要共享文件夹配置自动快照策略并保持固定节奏（比如每小时一次、保留 7 天）；有条件务必启用不可变快照并设置合理的保护周期；但要清楚快照不是备份的替代品——它防的是「误删与加密」，不防「整机损毁」。机器烧了、被偷了、泡水了，快照一起没。

P0-3 账号治理：让攻击者拿不到最高权限

很多病毒会主动攻击默认的 admin 账户，以获取系统最高授权，再横扫所有终端与文件。

DSM 7.0 已默认停用 admin；使用 7.0 以下版本时，务必避免使用 admin、administrator、root 等通用名称。禁用默认 admin 后，另外创建一个自定义名称的管理员账号，并设置高强度唯一密码。日常存取文件、使用套件时，另建非管理员账号，仅授予所需权限，缩小影响面。

密码建议包含大小写字母、数字、特殊符号，且不要与其他系统通用；不同账号不要复用同一密码——一个被盗，其余会被连带控制。管理员可通过自定义密码策略统一规范全站密码强度；不便记忆时可用 Secure SignIn 无密码登录，并在其中开启双重验证。

P0-4 及时更新：堵住已知漏洞

大量勒索病毒正是利用系统安全漏洞实施攻击。在【控制面板】中开启「自动安装修复重大安全性问题和漏洞的重要更新」，这一步开启之后基本就不用管了。

群晖 PSIRT 团队会在漏洞发生时于 8 小时内完成评估调查，并在随后 15 小时内发布补丁，及时更新即可远离过往漏洞。但更新前要做两件事：做好配置与数据备份、评估业务影响，避开业务高峰升级；同时核对第三方插件版本，很多套件的旧版本才是真正的洞。

这里有个例外必须单独讲：已中招的设备不适用上述更新建议。已中招或疑似中招的设备，系统更新与重启一律先咨询原厂技术支持、按其指导操作，不要套用常规升级流程。

七、P1 四项：把攻击成本和被发现的概率一起抬高

P1-1 IP 自动封锁与账户保护

开启【IP 自动封锁】：设定登录失败次数与时间限制，自动拦截高频暴力破解，并可导入 IP 黑名单规范访问。启用【账户保护】：异常登录自动锁定，可依据客户端添加信任或屏蔽不受信任来源。

这两项是「免费的防守」。配置成本几乎为零，但能把每天几千次的撞库尝试挡在门外，同时让真正的异常登录变成一条你收得到的告警。

P1-2 SSH / Telnet：不用就关

非必要不开放 SSH；确需使用时，更改默认的 22 端口并限制来源 IP。定期用到 SSH/Telnet 的，请在不用时关闭。默认启用 root 访问且仅支持管理员登录，极易被强行破解管理员密码获得未授权访问。必须长期提供终端服务时，务必设置强密码并修改默认端口号。

P1-3 备份：至少一份离线或异地

重要数据至少保留一份离线或异地副本。避免备份目录与生产 NAS 长期处于可写状态——这正是勒索病毒连带加密备份的原因。定期做恢复验证，不要只看任务成功日志：能恢复才算备份存在。

第三条最容易被忽略。备份任务每天绿勾不代表数据可用：可能是源目录选错了，可能是增量链条断了，可能是加密密码丢了。真恢复一次，才知道自己到底有没有备份。

P1-4 安全顾问：把巡检自动化

【安全顾问】可依据设定计划，定时扫描系统、账户、网络等安全状况，并给出建议操作——例如是否误开了 SSH 服务、是否出现异常登录活动。适合没有时间实时盯盘的用户。建议企业用户形成定期巡检机制，把「看一眼安全顾问」写进月度运维清单。

八、P2 细节收口：不花钱但能少一半麻烦

P2 的六项不是不重要，而是优先级排在后面。它们更多解决「降低被针对的概率」和「出事后能第一时间知道」。

自定义防火墙规则。启用防火墙并根据自定义规则构建内外网屏障，决定哪些 IP 可以访问哪些端口。地理封锁也在这里配——如果你的业务不出海，把境外 IP 段拉黑能省掉大量噪音。

更改 DSM 默认端口。把默认的 HTTP（5000）/ HTTPS（5001）端口改掉，规避针对性常见威胁。改端口不是安全措施，只是减少被傻瓜式扫描器命中的概率，别把它当成防护的全部。

开启系统通知。通过邮件、短信、移动设备或浏览器接收告警。当 NAS 被频繁尝试登录时第一时间知晓，可立即断网止损。建议同时创建 Synology Account 接收安全资讯。

清理账号与计划任务。禁用不再使用的账号，删除异常管理员账号；检查异常管理员账号、计划任务与远程访问配置。这三处是后门最爱藏的地方。

不装来路不明的套件。不要在 NAS 上随意安装安全性未知的第三方套件。套件跑在 DSM 的系统权限下，一个恶意的第三方套件等于把管理员权限直接送出去。

提升自身意识。不点击不明邮件链接、不安装未知来源软件——很多勒索病毒正是先感染电脑，再以电脑为跳板攻击 NAS。人的一次误点，比任何一个没关的端口都危险。

九、把 3-2-1 落到群晖上：三份副本怎么摆

「至少一份离线或异地」说起来简单，落地要具体到哪份数据放在哪台设备上。下面这套三副本结构适合中小企业，个人用户可以把第 3 份简化成一块定期插拔的外接硬盘。

恢复演练怎么做才有意义

每季度挑一个真实文件夹（不要用测试文件），从备份里恢复到一个临时共享目录，记录三件事：恢复用了多久、数据是否完整、有没有漏掉权限和 ACL。第三点最容易被跳过——文件回来了但权限全乱，业务照样跑不起来。

演练之后把耗时记下来。真出事的时候，老板问的第一个问题一定是「多久能恢复」，你得能立刻答出来，而不是说「应该挺快的」。

如果还想往上补一层，整机级的备份是另一条独立的线：Active Backup for Business 能把物理机、虚拟机和文件服务器整机备走，恢复时直接裸机还原。两条线配合，才算把数据安全的闭环补全，具体配置见《Active Backup for Business 整机备份与裸机恢复》。

十、一页自查速查表

打印或截图保存，逐项打勾。任何一项为「否」，都应当天处理。这张表建议每季度重跑一次，因为配置会漂移：某次排查临时开的 SSH，往往就再也没关过。

十一、结语：防护是一套组合拳

数据安全没有「一劳永逸」，勒索攻击一直在迭代。真正有效的防护逻辑，是下面这六件事同时成立：

任何一环缺失，前面的努力都可能被绕过。比如做了快照但没做不可变，攻击者进来第一件事就是删快照；做了异地备份但备份目录长期可写，加密会顺着备份任务一起同步过去；收敛了暴露面但账号还用弱口令，内网横向一样能打穿。

建议企业用户把这些项目固化为月度巡检清单，个人用户也请尽快对照自查，避免多年数据一朝归零。防护做到位之后，你会发现真正的成本不是钱，而是把那几个开关认真关一遍的时间。

最后说一句实操经验：真正救过人的，往往不是最贵的那套方案，而是「不可变快照 + 一份拔了线的异地备份」这个组合。其余的动作是把被攻破的概率压下去，这两件事是把损失兜住。如果你们单位也遇到过类似情况，欢迎在评论区说说具体现象——这类问题常常就差在一个开关上。文中没写清楚的地方，也欢迎直接问我。