NAS 已經斷網，接下來該確認什麼？

NAS 已經斷網，為什麼還要繼續確認？

收到 NAS 安全警訊後，暫停連線為團隊留下檢查與處理的空間。接下來要回答的問題是：哪些人仍能連線、能修改哪些資料，以及資料受損後能否還原。把這三件事查清楚，才能決定恢復哪些服務。

本文從實驗室共享檔案的情境出發，帶你看懂網路隔離、系統修補、遠端入口與資料復原。設備、帳號與路徑均以教學情境呈現；六張圖說明判斷方法，個別設備的版本、入侵狀態與復線結果由管理者另行驗證。

先看懂 NAS 如何共享檔案

NAS（Network Attached Storage，網路附加儲存設備）是一台透過網路提供檔案的伺服器。研究生各自使用電腦，把論文、模型與研究資料放到共同的儲存空間；NAS 依帳號與資料夾權限決定誰可以讀取、寫入或刪除。

IP 位址像網路上的投遞地址，讓電腦找到設備；SMB（Server Message Block）則是常見的檔案共享協定。DSM（DiskStation Manager）是 Synology NAS 的作業系統，套件則是在系統上提供額外功能的軟體。找到地址、登入成功與取得寫入權限，是三個分開的條件。

例如在受管理的測試內網中，smb://192.168.1.20/Research 表示透過 SMB 開啟某台 NAS 的 Research 共享目錄。此位址與名稱為合成示例；輸入路徑前，先向管理者確認獲准使用的位址與帳號。

「斷網」要說清楚斷在哪裡

切斷網際網路的連線後，交換器與區域網路可能仍然運作，內網電腦也可能繼續存取 NAS。若拔除 NAS 的所有網路連線，原本透過那些介面存取的電腦就失去路徑。管理者應確認所有網路介面、路由與遠端入口，記錄實際隔離範圍。

隔離的目的，是控制目前哪些路徑可以到達設備。若內網電腦已受感染，且帳號仍能寫入共享資料夾，就要同時處理端點與權限。復線前的測試應使用受控電腦與獲准路徑，避免為了方便更新而重新開放所有入口。

漏洞與寫入權限，是兩條不同的風險路徑

漏洞是軟體設計或實作上的缺口。攻擊者能否利用它，取決於服務是否可達、版本是否受影響，以及是否需要登入等條件。勒索軟體也可能直接利用受感染電腦既有的帳號權限，改寫共享檔案。這條路徑即使沒有利用 NAS 本身的漏洞，也值得納入防護。

因此，修補服務與限制資料寫入要一起規劃。管理帳號和日常使用帳號分開；依工作需要分配資料夾權限，讓只需閱讀的人取得唯讀權限。測試時同時確認「該成功的操作成功」與「未授權的操作被拒絕」。

把 DSM 與套件分開盤點

截至 2026-11-01 查核，Synology SA-26:13 對 DSM 7.4 列出 7.4-90075 修補門檻，也為其他 DSM 分支列出各自版本。公告涵蓋不同權限條件的漏洞；請按實際分支及完整版本比對，不以一個版本數字代替所有檢查。

SA-26:14 則針對 PHP、Mail Station 與 Synology Calendar 套件。公告將 PHP 7.3 列為生命週期結束、不提供修補；其餘受影響套件各有對應版本。因此，DSM 更新後仍要開啟套件中心逐項核對。

本篇採用公告作為盤點示例。管理者仍需取得原始警訊與確切 CVE（漏洞識別編號），確認是否對應現場設備。記錄更新前後版本、執行時間與功能測試；入侵跡象則交由事件調查流程處理。

Synology SA-26:13 — DSM

Synology SA-26:14 — PHP2Shell

遠端入口：網頁與 SMB 分開設計

Cloudflare Tunnel 由內部的連接器建立對外連線，讓服務透過 Cloudflare 傳送流量。針對網頁服務，另設定 Access 的身分與允許政策，才能把「有通道」與「誰可進入」接起來。NAS 自己的登入與檔案權限仍保有責任。

SMB 是檔案共享協定，不會因為網頁入口受到保護就自動套用同一條路徑。Cloudflare 的 SMB 文件提供 Cloudflare One Client 搭配私有路由的方式，並要求調整 Split Tunnels，讓對應私有網段流量進入用戶端路徑。實作時再核對網路政策、名稱解析與 NAS 權限。

這裡呈現的是候選架構。採用前，以授權與未授權帳號分別驗證存取結果，確認公開入口沒有繞過身分檢查的路徑，再由管理者核准使用範圍。

Cloudflare Tunnel

Cloudflare One — SMB

讓資料可還原：分清三種保護

RAID（獨立磁碟備援陣列）與 SHR（Synology Hybrid RAID）依配置承受部分硬碟故障，讓設備維持運作；檔案被刪除或改寫時，陣列也會保存這個變更。快照記錄某個時間點的資料狀態，適合回復誤刪或修改；保留在同一台設備的快照，也共用設備故障與部分管理風險。

獨立備份把副本放到另一個目的地，再依需求加入異地、離線或不可變保護。不可變表示在指定期間限制修改或刪除；實際支援仍要核對機型、檔案系統與設定。備份帳號和管理權限也要隔離，讓同一個受感染帳號難以同時改寫所有副本。

用一份獲准的測試檔案驗證：記錄內容或雜湊值，建立備份，再還原到獨立測試目錄，比對內容與存取權限，記錄耗時並清理測試副本。生產資料的破壞性測試另安排受控環境；「備份成功」與「確實還原」分別留下證據。

Synology — Backup & Data Protection

Synology — Snapshot Replication

依驗收結果，分階段恢復服務

復線是一個有順序的判斷流程。先由管理者確認隔離與紀錄，再盤點和修補，接著驗證帳號、服務與資料復原。每一步寫下誰執行、何時完成、得到什麼結果，最後決定哪些使用者與服務先恢復。

若看到勒索訊息、陌生管理帳號或大量異常檔案變更，先維持隔離並保存紀錄，由事件處理人員判斷調查與重建方式。一般更新流程適用於已完成狀態評估的維護工作；可疑設備的清理與復線需要事件處理結果支持。

理解檢查：誰仍然能改寫資料？

情境：NAS 已更新，也沒有直接公開的入站入口；某位使用者的電腦卻遭感染。為什麼共享檔案仍可能被加密？請選一項防護措施，說明它保護哪個環節。

參考思路：惡意程式可能利用該使用者既有的寫入權限。把不需修改的資料夾改為唯讀可縮小影響；端點防護處理感染來源；獨立且經還原驗證的副本承接資料復原。判斷時指出所選措施處理的路徑，再列出仍需其他措施承接的部分。

下一步：用本文盤點表整理一台獲准管理的設備。先記錄現況，再選出一項最能降低不確定性的檢查，例如取得套件完整版本，或完成一次測試檔案還原。