タグ: Synology

[Synology] RT2600ac – Threat Prevention ユーティリティで重大度が高いパケットのドロップ設定、ポリシー設定でローカルネットワークを守る – [2021/05/15]
Post Views: 481

ID3461

Synology Router RT2600ac

Synology社は、台湾の企業です。個人レベルのNASから、ラック収納するタイプの大規模サーバー製品も作っており、世界的な企業になってきました。独自開発のパッケージ製品の性能が高いことが特徴です(by Mr.HARIKIRI, 2020/12/10)。

Synology RT2600ac

Synology RT6600ax
2022/8にRT2600acからRT6600axに変更しましたが，Synologyのルーター製品では，同じユーザーインターフェースのSRMが使用されているので，使い勝手は同じです．

RT2600acには、Synology製のインターネットからのアタックからローカルネットワークを守るThreat Preventionというセキュリティ・パッケージが提供されています。

Synologyのテストによる接続性ですが、RT2600acへの同時接続は、100台までならフル速度で接続できたとしています。個人で使用するRouterとしては十分な性能であり、僕みたいに自宅のNASにblogを立ち上げているようなパワーユーザーである個人使用としても十分に役割を果たしてくれるRouterです。

その他にも、RT2200acというルーターも提供されていますが、「Threat Prevention」はサポートされていません。セキュリティを高めたいなら、RT2600acを選択すべきです(2021/0515, MR.HARIKIRI)。

Synology Routerの比較 – Synology site –
https://www.synology.com/ja-jp/products/compare/routers

Rule Set

Threat Preventionのプロックする基準は、脅威のルールセットを元にしています。設定にソースを選ぶところでは、ET Open/ET Proを選べるようになっていますが、ET Openがオープンソースです。ET Proは$900の費用が必要であるとネットには記載がありました。

Proofpoint Emerging Threats Rules
http://rules.emergingthreats.net

Threat Prevention

Synology RouterのSRMからThreat Preventionﾕｰﾃｨﾘﾃｨを起動する。
1. 概要 > 潜在的な脅威のあるデバイス > 詳細クリック
2. 定期的に重大度(高)を探して、「ポリシー追加」ボタン > ポリシーの編集 > 造作:ドロップ、に設定しておく。
3. 起動には、外付けのUSB メモリにシステムデータベースの構築が必要
  - 当初、余っていたUSB メモリ4GBを使っていました
  - ログの最大を2GBにしていたため、余りが2GBの計算となっていたが、残り3GBは必要との記載があった
  - SRM 1.2.4-8081 Update 2にアップデートしてから、Threat Preventionが途中停止していることが数回あった。
  - そこで、USB メモリ 4GBを16GBに交換することにした
攻撃からの防衛ポリシー管理は、自己定義ポリシーのページで行います。
- 自己定義ポリシー > ポリシー > 「クラスポリシー」項目
最も脆弱性があり被害のインパクトが高いものは、重大度: 高として、Web Application AttachやPotential Corporate Privacy Violationなど、いくつもクラスがあります。代表的なクラスは、以下の「Web Application Attackとは」を参照してください。これらを監視するかの設定は、
- 自己定義ポリシー > クラス署名
- 各クラスごと個別に有効/無効を設定できます。
少なくとも重大度(高)については、有効になっていることを確認しておきます。
1. Web Application Attack : 重大度 (高)
2. Potentially Bad Traffic : 重大度　(中)
3. Misc Attack : 重大度 (中)
- 自己定義ポリシー > ポリシー > 「著名ポリシー」項目
署名ポリシーは、どれかのクラスに属する個別の分類です。Web Application Attachクラスに含まれるのが、下図でいうとET WEB_SERVER 401TRG GENERIC WebShell Request – POST with whet in bodyです。これは当然に重大度(高)です。

ここで、wgetはLinux OS系では一般的に知られいるコマンド型のユーフィリティ、urlを指定すれば、そのサイト全部をゲットできる強力ツールです。
- 設定 > 全般 > 「ハイリスクなパケットは自動でドロップ」項目にチォック
してあれば、その都度ドロップされるようですが、そのようなログないので、以下のように、特定のアドレスも含めてドロップの設定にしておいた方が無難です。
- イベント > 「ポリシー追加」ボタン
その他、
- 概要 > 潜在的な脅威のあるデバイス > 詳細クリック
からも同様に、特定のアドレスのパケット・イベントをドロップ指定することもできます。

Web Application Attackとは(参考1)

1. Web Applicationの仕組み

一般的に、3層のWebアプリケーションモデルが有名です。すなわち、ユーザーの接点は、ネットブラウザのことです。その先にJaveがあり、データベース(Data Base)があってはじめて機能しているのです。

Web Applicationに対応するServerは、Webサイトへのアクセスを公開する必要があるため、基本的に保護されていません。ポートを規定値から変更していたとしてもポートスキャンなどで知られる危険性はなお残ります。
- 最初の層: Webブラウザーまたはユーザーインターフェイス
- 2番目の層: Javaサーブレット（JSP）やActive Server Pages（ASP）などの動的コンテンツ生成技術ツール
- 3番目の層: データベース。コンテンツ（ニュースなど）と顧客データ（ユーザー名とパスワード、ソーシャルなど）を含む
- すなわち、Web Applicationは、データベースのゲートウェイと言えます
2. Web Application Attack (Webアプリケーション攻撃)

RouterやServerのセキュリティ上の脆弱性により、外部から、そのデータベースに直接および一般からアクセスして、保護されているバスのデータを大量に取得する、これをWeb Application Attackといいます。

企業のWebサイトを改ざんするような破壊行為（いわゆるスクリプトキディ (script kiddie)によって実行されることが多い）は今でも一般的ですが、今日では、攻撃者は、利益目的のためにデータベースサーバー(Data Base Server)にある機密データへのアクセスを志向しています。
- データベースを直接標的とするSQLインジェクション攻撃
- ユーザーをだましてフィッシングサイトにリダイレクトするクロスサイトスクリプティング（XSS攻撃）
- その他
重大度が高の統計結果

2020/11/11 ~ 2020/12/10までの統計結果。Threat Preventionは、重大度が高であるパケット内容は、自動でブロックしてくれます。

参考

1) scientists,”What Is a Web Application Attack and how to Defend Against It”

2) Understanding IPS Policy, JUNIPER NETWORKS, Techlibrary

3) Learn more about Policy Violation, ScienceDirect

4) ET Open vs ET Pro : いずれも脅威をブロックするためのルールセットであり、ET Openはオーブン製品、ET Proは商用製品($900)であることが説明されている。「Threat Prevention」の「設定」にある「ステータス更新」には、「ET Open」がデフォルトになっているが、商用製品も使用できるようになっている。

編集履歴
```
2011/11/22 Mr.HARIKIRI
2020/12/10 追記 (Synology社についての紹介文、および2020/11/11~2020/12/10の期間 (1ヶ月)でプロックしたパケット地図)
2022/11/20 追記 (RT6600axについて)
```
2019年11月22日
[Data Link] WordPress blog URLを引越しする時に必要なリダイレクトの種類について、まとめられたサイトのリンク [2019/11/16]

Post Views: 157

URLを引越しする時に必要なリダイレクトの種類について – TCD WordPress Themeより

種々のリダイレクト法についてまとめられている。

2019年11月16日
[Synology] NAS – Photo Stationに保管しているファイルをYouTubeにアップする機能を試してみた「ロンドンからスカボロ城へ行く(2016)」
Post Views: 274

‪ID3200

PhotoStation

以前旅行した時の写真のスライドショーは、Synology NASに保管しています。

SynologyのパッケージにあるPhoto Stationをインストールしているなら、Photo Stationから簡単にYouTubeへアップロードが可能です。

YouTubeへのアップロード
1. DSMにLogin -> Desktop mode -> Photo Station起動
2. アップロードしたいファイルを選択
3. Photo Stationの画面左下にある「共有」を選択
4. 「YouTubeにアップロード」を実行
5. 確認画面が現れる
6. 必要があれば、サインインする
7. 実行
DSM-DESKTOP

ブログからのリンク方法
1. YouTubeから動画を選択し共有を選び、Twitterを選択
2. 出てくるTwitterのツイート確認画面に記載の内容をコピー
3. 自分のBlogから、その内容を使って投稿
(2019/11/6 はりきり(Mr) )

PS-4

PS-5

ロンドンからスカボロ城へ行く(2016) https://youtu.be/pvae_81ENho @YouTubeより‬

編集履歴

2020/04/24 文言整備
2020/07/16 文言整備
2019年11月16日
[Synology] Router / SRM 1.2.3-8017 Update 3にUpdateされた時から、RT2600acを守っているThreat Preventionからの警告e-mail連絡がなくなった件

Post Views: 223

RT2600ac

RT2600acのアプリケーションパッケージである「Threat Prevention」は、ネットワークに対する悪意のあるアクセスを、その悪意のレベルに応じてブロックしてくれます。

悪意のレベルは、「大」「中」「小」にThreat Preventionがグルーピングされていて、これらによるパケットがあったときにe-mailでしらせる設定が可能となっています。

こららの悪意のあるアクセスの情報は、Synologyが持っているのではなく、あるサーバーで統合(データベース)されているようです。日々、そのデータは更新されており、そのデータベースの更新の設定は、Threat Preventionの設定画面にあります。

アラートが来なくなった

e-mailへの連絡を設定したいたレベル「大」の連絡が、9/30を境に来なくなっていることに気付いた。

RT2600acにLoginして、溜まっているはずのメッセージを眺めていた。Threat Preventionの”ブロック”に関するログがない。9/30以降のブロック等のアラートが無い。どうやら、Threat Preventionは、9/30以降、停止状態になっていたようだ。

原因

Synology Router Manager (SRM)の自動アップデートがあったことを思い出し、ログセンターを覗いてみた。

Synology Router Manager
https://www.synology.com/ja-jp/knowledgebase/SRM/tutorial/General_Setup

ネットワーキング体験の革命的な変化 – Synology Web site –
Synology Router Manager (SRM) は、Synology Router の威力を高めてくれるオペレーティングシステムです。クラス随一のユーザーインターフェイスにより、ネットワークで何が起きているかを詳しく把握することができ、接続されているデバイスすべてを迫り来る驚異から守るきっかけになります。
https://www.synology.com/ja-jp/srm

9/30にDownload task for [SRM 1.2.3-8017 Update 3] finished.

とあり、記憶にないが、管理者権限でUpdateしたか、もしくは、自動でUpdateしたかで、現在は、[SRM 1.2.3-8017 Update 3] となっている。その際に、Threat Preventionが停止、再起動した際に、起動しなかったと考えられる。

結論

たまには、システムの状態を見ないといけないね。こうゆうことが、システム管理というのでしょう。これから頑張って管理していきたいと思います。

編集履歴

2019/11/02 はりきり(Mr)

2019年11月2日
[Synology] NAS上に暗号化された共有フォルダーの設定と運用方法、その考え方 – [2022/10/08]
Post Views: 2,136

ID2758

はじめに

Synology NASにおけるデータ・セキュリティの考え方と対策について解説します。

暗号化の意義

データ流出のケースは大きく2つ

NASに保存しているデータの流出には，大きく2つが考えられます．1つは(1)ネットワークを介して流出する場合．もう1つは，(2)物理的な流出，すなわちNASまたはHDDが他人の手に渡ってしまう場合です．

(1)ネットワークを介したデータ流出には，不正ログインによるデータへのアクセス全般を範囲にしています．不正にログインができたことでデータへのアクセスが可能となり，データをダウンロードで持ち出せたり，または，データに鍵を掛けて身代金を要求されるなどのリスクが生じます．これらすべてについてネットワークからのデータ流出に分類しました．このリスクは一般的によく思い当たるリスクの一つです．

(2)物理的な流出は，盗難などは比較的思いつきやすいリスクですが，管理者本人が管理できなくなった場合のリスクに関することです．個人の場合，家族が管理あるいはNASやHDDを引き受けることになる場合があると思います．

1. ネットワークを介したデータ流出

ネットワークからの流出には，パスワード管理などのアクセス制限により防衛するのが基本となります．今回，フォルダの暗号化の目的は，以下に述べた他人の手に渡ることを防止することです．
- ローカル・ネットワーク経由からの流出
  - 不正にアクセス権を取得されることで、ローカルネットワークに侵入されて、そのアクセス権でアクセス可能なファイルが流出する場合です
  - 今回の暗号化した共有フォルダでは、ローカル・ネットワークにログインしてアクセス権があったとしても、暗号化した共有フォルダには、パスワードとは異なる暗号化キーを設定することができるので、その暗号化キーを知っていない限り、その共有フォルダ内のファイルを見ることができなくなります
  - 具体的な対策方法は、共有フォルダの暗号化です．
- ランサムウェアによるデータ破損やロック
  - クラッカーによるファイルの改竄 (かいざん)や破壊により、元のファイルがなくなる場合です
  - メールの受信人の警戒意識を低下させるような、タイトルや内容に仕立てた架空のメールにより、リンクをクリックさせて悪意のあるウイルスを感染させます。管理者権限の取得もされてしまうと、どんなフォルダやファイルにも暗号を掛けロックして、それを人質に身代金 (ランサム)を要求してきます。侵入/暗号化を実行したハッカーからすれば、その情報の価値を把握できていることは稀でしょう。でも、その価値は、情報の持ち主が知っているのです
  - 侵入者が行うフォルダやファイルのロックは、自前のツールや侵入先のシステムにインストールされているZIPなどの鍵付き圧縮コマンドなどが利用されると思われます。フォルダに対してはよく分かりませんが、WindowsではBitLockerというドライブ暗号化機能があります。Windowsでは、侵入してしてしまえば簡単にロックが可能なのかも知れません
  - 個人に対してこの攻撃をすることは、ほとんどの場合、効率的でないので、少ないとは考えられますが、個人だからといって、自分にとっては変え難い情報であることに間違いはありません
  - 身代金目当てであるため、企業に対して行われることが多く、最近では医療機関のカルテシステムのランサムが行われたり日本においても大きな問題になってきました (2022/11/15現在)。重要情報であればあるほど、そのランサムは高額になるのでしょう
  - 具体的な対策方法は、(1)定期的なバックアップ、(2)もしもハックされた場合はバックアップからの復元、です。改竄や破壊またはロックされたフォルダやファイルは見捨てます。その代わりにバックアップから復元することで、影響を最低限にする対策です。アップデートの多いデータの場合は、きめ細かなバックアップ体制が必要となります。このように、身代金は支払わないというのが、世界の趨勢になっています。
[Synology] NAS (DS918+/DS920+)のバックアップを考える – システム構成は「Hyper Backup」、「Snapshot Replication」および「Synology Drive」- Smartプラグによる外付けHDDケース電源の管理によるセキュリティ向上、最後にシステムコンフィグレーション /クラウドバックアップも考え [2023/11/15] ID3778

2. 物理的な流出

例えば，空き巣に入られてNASが持ち去られる．また、想定しづらいケースとして、自分が死亡した後のことです．管理者である自分が死亡した場合，そのほとんどのデータは，家族写真など家族と共有物していた重要なデータもあるかも知れませんが、ほとんどは、家族には必要の無いものばかりでしょう．

家族に必要のない負担や迷惑が掛からないように，なんの後処理の必要が無いようにできれば，それに越したことはありません．単に廃棄物として廃棄できるのが望ましと考えます．
- 対策:
  - 暗号化
    持ち去られたとしても暗号化されていることで、データは秘匿のまま守られます．かける鍵は複雑にすることを心掛ける(この場合，自分が納得することが重要)
  - 操作概要
    共有ドライブの設定から，フォルダーに対して暗号により鍵を掛けます．
  - 運用
    アクセスする時だけ，暗号を解き(マウント)，使用が終わったら鍵を閉める(アンマウント)する，のが好ましいです．マニュアルで実行するのは煩雑なので，このアンマウントの作業は自動化を取り入れます．具体的には，定期的にNASを再起動するスケジュールを組んでおくことです．シャットダウンするとマウントは解除されることを利用するのが味噌です．
暗号化方式の解説

Synology NAS (DS918+，DS920+, DS1621xs+,etc)のDSMでは，暗号化方式としてAESが採用されています．Advanced Encryption Standard (AES)は，2001年に米国政府で採用され始めた256ビットの暗号化方式です．暗号化とその解除には同じ暗号化キーを使う対称性のあるアルゴリズムであるということです．以下には、暗号化について知っておくべきことについて列挙しました。
- DSMの暗号化方式は、AESです
- 暗号化には、ソフトウエアでも実施可能ですが実用的ではありません。そこで、ハードウェアによる暗号化をサポートしているミッドレンジ以上のNASにしか使用できないことが多いようです(DS918+, DS920+, DS1621xs+, etc.)
- 暗号化には、暗号化時のシステム情報を含む丸ごと実行する場合や、それらの情報を含まないで暗号化を実行する方法があるようです。システム情報を含む場合、HDDだけを取得して別の機器に乗せても，異なるNASなどではシステム情報が異なっているためデータの複合化はできません．すなわち内容にアクセスすることはできません
暗号化した共有フォルダのキー管理　- Synology site – より
https://www.synology.com/ja-jp/knowledgebase/DSM/help/DSM/AdminCenter/file_share_key_manager

Synology NAS で共有フォルダを暗号化および暗号化解除する方法　- Synology site – より

暗号化キーは、エクスポートして別途保管しておくことが望ましい
https://www.synology.com/ja-jp/knowledgebase/DSM/tutorial/File_Sharing/How_to_encrypt_and_decrypt_shared_folders_on_my_Synology_NAS

暗号化に関する用語

暗号キー

最初に暗号化共有フォルダを作成する際に設定するキー (Encryption Key)のこと。キーストアに保管される。

キーの暗号化方法は，①パスフレーズと②マシンキーの2つがあるが、バスフレーズは、一般名としてのパスフレーズであり、キーマネージャのログインの際に入力するパスフレーズとは異なる。

① マシンキー : Machine Key, HDDが接続されたSynology NASでのみ暗号を解除できる．すなわち，HDDを取り外し，他のマシンに載せ替えての暗号化の解除はできない．

② パスフレーズ : マシンキーを使わないキー解除法

キーマネージャ

キーマネージャ (key manager)は、共有フォルダの暗号化に使用したキーの管理を行うDiskStation Manager (DSM)のプムグラム(デーモン)である。キーは、キーストアに保管されている。
- 共有フォルダ > 操作 > キーマネージャ↩️
- パスフレーズ入力(実質的にキーマネージャへのログイン)↩️
- 追加 > 暗号化共有フォルダ > 「暗号キー」入力 > 画面にリストアップで、複数の暗号化共有フォルダを一元的に管理できる
- 「構成 > キーマイグレーション >今すぐ移行する」でキーストアを「システムパーティション」から外部デバイスの「USBメモリ」に設定する　(この設定は、機能していない。以下の「注意」を参照。バグの可能性がある)
キーマネージャのパスフレーズ

Pass Phrase, キーマネージャへのパスワード。暗号化キーとは異なるので注意。パスフレーズを知るものがキーストアの変更ができる．
- パスフレーズは、再設定可能
- キーマネージャを起動する度に入力が求められる
キーストア

キーストア (key store)は、キーが，保管されている場所。
- キーマネージャにキーの管理を任せると、デフォルトの「システムパーティーション」に加えて、「外部デバイス」が使用可能になる．
- 外部デバイスをキーストアにすると、その外部デバイスと共に、パスフレーズの照合が必要になるので、その外部デバイスを持っていて、且つ、現地において、NASに外部デバイスを挿さなければ、暗号の解除できない．ネットからの解除ができないと言うことである。即ち、これは最もセキュリティレベルが高い。
- ネットからの暗号化共有フォルダを使いたい場合、パカチョンで一般的な使用方法は、キーマネージャの使用設定をしないで、パスフレーズのみでキー解除とするか、キーファイル (key file)をダウンロードしておいて、USBメモリなどで持ち歩く必要がある。
  - パスフレーズのみでキー解除
  - パスフレーズとキーファイルでキー解除
- キーファイルは、「キーのエキスポート」により行う．アンマウント時には、キーファイルの入力を促するチェックもあるので、キーファイルがある場合は、ファイルを指定してキー解除しマウントする。
```
* 現在、外部デバイスをキーストアに設定しても、「共有フォルダ > 暗号化 > マウント > 暗号キーの入力」でキー解除が可能です。これでは、意味がないので、他に設定が必要か検証中です (2020/04/18)。
```
暗号化共有フォルダの作成とマウント/アンマウントの方法

https://global.download.synology.com/download/Document/Software/UserGuide/Firmware/DSM/6.2/jpn/Syno_UsersGuide_NAServer_jpn.pdf

管理者権限で新しく暗号化共有フォルダを作成するか，既存の共有フォルダの暗号化設定により作成できる
- 新規に暗号化共有フォルダを作る
- 既存の共有フォルダを暗号化する : 既存のファイルを暗号化処理しなければならないため、容量依存で処理時間が必要。
新規の暗号化共有フォルダを作る

DSMにログインする

DSM-DESKTOP

コントロールパネルを開く

DSM

共有フォルダ > 作成 > 共有フォルダの作成

共有フォルダ　作成
- パスフレーズを入力
- 「キーマネージャに暗号化キーを追加する」は、キーストアを外部デバイスを使用する場合に選択する。この項目が表示されない場合は、後から設定する。
- 大事なデータは、チェックサムをチェック
- フォルダの最大サイズを指定できる
- 確認画面
- 再度の確認画面
- 再度の確認画面
アクセス権の設定を終えれば、暗号化した共用フォルダの作成が完了する。

キーストアの初期化

暗号化のパスフレーズ (pass phrase) 即ちパスワードをSynology NAS内かUSBメモリに設定する操作。
1. 「コントロールパネル > 共有フォルダ > 操作*1 > キーマネージャ↩️」
2. 「キーストアの初期化」ダイヤログが表示される
3. [キーストア場所] からキーストアとして、「外部デバイス」または「システムパーティション」を選択します。
4. このキーストアの [パスフレーズ] フィールドは、今後、キーマネージャを起動する都度、必要となるパスワードのことです。
```
*1
日本語のマニュアルには、”作成“とあるのは誤記です。
```
キーストアの初期化の図解

「キーストアの場所」をセレクトすると、USBメモリが接続されていれば、下図のようにシステムパーティション以外の選択肢が現れる。
- パスフレーズの保管先を選択して、パスフレーズをセットする
- キーストアには、デフォルトの「システムパーティション」、フォーマットされたUSBメモリが挿されていれば、外部デバイスも表示される
外部デバイスに暗号キーを保管した場合、暗号解除するには、この外部デバイスと記憶している暗号キーの両方が必要となる (注意、この機能は使えるが、暗号キーのみで解除もできてしまう)
- この外部デバイスをなくすと、暗号解除が出来なくなる
- パスフレーズを忘れると、暗号解除が出来なくなる
暗号化共有フォルダのマウント

パスフレーズでマンウト

キーマネージャを使用しない場合のマウント方法
- 暗号化 > マウント
- パスフレーズ
- ↩️
外部デバイスでマンウト

キーストアとして外部デバイスを使った場合のマウント方法
- キーがストアされているUSBメモリをNASに挿し、自動的にマウントしたことを確認
- コントロールパネル > 共有フォルダ > 操作 > キーマネージャ > ↩️
- 以下の図のように、「パスフレーズ検証」ダイヤログが表示される
- パスフレーズを入力↩️
- 該当する共有フォルダがマウントされる。
- 以下の図が現れる
- test_2フォルダがマウントされる
- 「起動時に自動でマウント」の設定が可能
「構成」から「パスフレーズの変更」が可能

暗号化共有フォルダのアンマウント

共有フォルダを開く(下図、左上)

DSM
- 「暗号化」をクリク
  - アンマウントをクリック　→ 鍵がかかる
DSM

既存のフォルダを暗号化

すでにあるフォルダを暗号化するには，共有フォルダアプリから，
1. フォルダをクリックして選択状態にする
2. 「編集」タグをクリックして，編集ダイオログを表示させる
3. 「この共有フォルダを暗号化する」のチェックボックスにチェックを入れる
4. 暗号化キー(一般的にはパスワード)，確認キーを設定する
5. 「保存」する
実際の運用の詳細

秘匿性を最大限にするには，ネットワークには繋がない運用が最も効果があるわけですが，この御時世そうもいきません．そこで，必要な時にマウントする運用とすることを提案します．
- 今回、暗号化共有フォルダを導入する目的は、データの秘匿性を高めることである
- もしも、管理者権限が不正アクセスで破られたとしても、更に暗号化共有フォルダの暗号キーが解読される確率は、非常に低くセキュリティレベルは申し分ないと考えられる
- 外部デバイスによる運用が追加であれば、更に、セキュリティ・レベルは高くなる
- しかし、DSMの現バージョン(DSM 6.2.2-24922 Update 5, 2020/4時点)では、キーストアを外部デバイスにしても、暗号キーのみでマウントできてしまう。実質的に、セキュリティレベルはレベル1(ネットからマウント可能)である
- 今回、外部デバイスによるマウント運用によるセキュリティレベル2(ネットからマウントできず、物理キーであるUSBメモリーにある暗号キーのみでしかアクセスできない状態)は見送り、レベル1で運用する。以上の解釈は少し間違えているように思えるが、今後よく考えて解釈を訂正するかも知れない
- 次期バージョンアップでの改善を期待するが、そもそも、僕が考えているレベル2のセキュリティは、DSMの仕様上に存在しないのかもしれない。一つの策としては、パスフレーズを最大化すれば、限りなく僕の考えるセキュリティ・レヒベル2に近づく。
まとめ

1. マニュアルによるマウント

DSMにログイン > コントロールパネル > 共有フォルダ > (暗号化したい共有化フォルダを選択) > 暗号化 > マウント > 暗号キー入力、によりマウントできる。

2. インポートファイルによるマニュアル・マウント

キーファイルのインポートによるマウント : キーファイルを手許にダウンロード(エクスポート)しておき、暗号化した共有フォルダをマウントしたい時に、そのキーファイルを読み込ませることでマウントする。
- キーマネージャにチェックを入れずに作った暗号化共有フォルダでは、エクスポートしたキーファイルを使って、マウントできる。
- しかし、キーマネージャにチェックを入れて作った暗号化共有フォルダでは、認証に失敗する。原因不明。
- キーマネージャの共有フォルダでは、Key Fileのインポートでは、エラーとなる。
3. 外部デバイスによるマウント

USBメモリーやiPhone/iPadに保管しておけば、DSMにログインして、そのファイルをインポートすれば、暗号化を解除してマウントすることができる。

4. キーマネージャによる自動・マウント

NASの起動時にマウントする方法 : 設定により、暗号化された共有フォルダを、再起動次に自動で、その暗号化された共有フォルダをマウントさせることができる．

しかし、この方法は、今回、目標としていた「必要な時に手動でマウント」するという目的には則さない方法である。
- キーマネージャを使用している場合、NASの起動時の自動マウント機能が使える。今回の目標に沿わないが、以下、設定の仕方を示しておく
- 共有フォルダ > 操作 > キーマネージャ > 共有フォルダを選択 > 起動時にマウント(チェック)↩️
今回、目的には届かない運用方針になってしまいました。ご意見、情報などあれば、気軽に投げてください。

以上

[Synology] DS918+ 初期導入時にはJBOD HDD、その後、メモリ増設・SSDキャッシュ増設・HDD追加でRAID 5によりフルスペック化 — アプリ/ツール構成 [2021/08/28] ID33

[Synology] 自宅に設置したNASにWordPressを構築してblog配信、高まるネット・リスクとセキュリティ対策 – [2020/12/31] ID22342

編集履歴
```
2019/10/28 はりきり(Mr)
2020/04/16 図を使用して説明を充足
2020/04/18 外部デバイスをキーにしてマウントできが、外部デバイスでの運用については断念
2021/02/23 文言整備 (「はじめに」を追加、「暗号化の意義」、「暗号化方式」について内容を追加)
2022/10/08 文言整備，追記(既存フォルダの暗号化手順)
2022/11/15 文言整備、追記(日本のコロナ禍で増加したランサム被害(医療関係)について)
```
2019年10月28日
[Synology] Photo Stationの鍵の掛かったアルバム共有方法 [2021/02/07]
Post Views: 328

はじめに

Synoloyg NASを導入すると無料のパッケージに「Photo Station」という写真の管理・共有サーバーがあります。iPadからは、アプリのDS Photoからアクセスが可能です。DS Photoにログインすると、アルバム一覧が表示されます。そのアルバムの内、1つを開いた後、メニューから「公開して共有」で、パスワードを掛けた公開が可能となります。

アルバムへのパスワード設定と原理

概要
1. 事前準備
  - アルバムにフォルダーを作る
  - フォルダーに写真を格納する
2. 設定
  1. フォルダを開く
    
    最も上流にあるフォルダ
    
    フォルダ内にフォルダを作ることができるし、以下の許可タイプや権限の割り当ても可能であるが、下流のフォルダにこれらの設定をすることはお勧めしない。挙動が理解できなくなってしまうため
  2. 「詳細」→ 「アルバムのプロパティを編集」→
    
    「許可タイプ」
    
    公開アルバム : Photo Stationにアクセスしただけで、表示されてしまう
    
    個人アルバム : ログインしたユーザーが見ることができる
    
    パスワード : ユーザー権限とは別のパスワードとして扱われる。パスワードを設定すると、誰でも見ることができる。
    
    「権限の割り当て」
    
    見るこのフォルダ内の写真を見ることができるユーザーをチェックする
DS Photoから行う

DS Photoアプリは、iPadやWindowsにあるので、インストールしてください。

DS Photoを起動すると、アルパム一覧が表示されます。パスワードを掛けたいアルバムを開きます。右上にある「i」のアイコンをクリックすると、「アルバム情報」画面が現れます。

アルバム情報画面の「許可」項目には、個人アルバム、共有アルバムおよパスワード保護の選択欄が現れるので、パスワード保護を選びます。これらの用語には、英語からの日本語訳が若干変なところがあるので、適宜読み替えてください。次に、パスワードを入力して完了です。

このパスワードされたアルバムへのリンクは、直接設定できませんが、先ずは、アルバム内に1つの写真が必要です。アルバム中にある1つの写真を開き、右上のメニュー「・・・」から「共有」を選択肢、「リンクをコピー」からリンクを取得してください。

DSMから行う
```
以下の内容は、2019/10に記述した内容で少し古い情報です。次回、updateしますが、それまでは、参考情報止まりでお願いします。
```
DSMからPhoto Stationを起動

左タグにあるアルバムを作成

PS-4

作った一つのアルバムまたは，一つのアルバム中の任意の数の写真を選択し，共有アルバムを作成(リンク，パスワードなどを設定)することで，パスワードのかかった公開が可能です。

PS-5

リンクは，共有アルバム > (作った今日アルバムの名前) > 共有▼ > 共有リンクを取得、にて表示される．

パスワードの設定は、リンクと同様に、共有アルバム > (作った今日アルバムの名前) > 詳細▼ > 共有アルバムの編集、にて設定する。

PS-6

fin!

編集履歴
```
2019/10/13 Mr.Harikiri
2020/10/06 追記 (DS Photoからパスワード設定する)
2021/02/07 追記 (最も上流のフォルダの設定を基本とすること)
```
2019年10月13日
[Synology] グローバルなIP証明書である「 Let’s Encrypt 」取得 – 80, 443ポートが空いているNASでは自動更新は可能 – その他NASへの証明書のインポート方法と運用方法 [2023/02/25]
Post Views: 618

はじめに

httpsのページとして公開可能にするには、証明書が必要です。そうでないと、「このページはなりすましなどで危険」などとのメッセージがWeb ブラウザに表示されます。

ちゃんとした会社のホームページでも、このようなメッセージが依然として表示されるサイトが多くありますが、ちゃんとした会社であることを知っていたとしても心配になりますね。

あと、個人的にSynology NASを使用した写真の共有化やDS NoteなどのInternetを介したアプリを使用する場合も、同様の問題に対する解決策として証明書を取得した方が良いです。

Let’s Encryptというボランティア団体によって個人でも証明書を取ることができる時代になりました。個人でサイトを立ち上げたのなら、是非、Let’s Encryptの証明書を取得しましょう。

数ヶ月前(2022)の情報ですが、Let’s Encryptが発行する証明書は、1億通を超えたとありました。

証明書

先日、証明書期限がきれるので、Let’s Encryptの更新をマニュアルで実施しました。更新した証明書の期限は、3ヶ月後の日付に更新されていましたが、更新したはずが、WebブラウザのSafariの表示で証明書エラーが出るようになっていました。

クライアントの証明書エラーが出ているSafariの表示から、証明書の内容を確認してみると、以前の証明書の期限のままの日付を表示していました。

この現象は、単純に設定のミスです。以下に説明してきましょう。

Let’s Encrypt 証明書の取得制限

試行錯誤している内に、何度も証明書を取得(以下の設定)したため、取得制限に引っかかりしたりします。Let’s Encyptには取得数に制限があるためです。この数の紐付けは、登録のemail addressであるため、email addressを変更すると回避できます。

Let’s Encrypt 申請内容

以下の項目を申請します。
- Domain : 例えば: harikiri.diskstation.me
- Email : <my Email address>
- Subject Alternative Name : *.harikiri.diskstation.me
証明書取得後の設定

設定でツボにハマってしまったら先ず、取得し過ぎた証明書は整理しましょう。必要出ないLet’s Encrypt 証明書は削除します。残しておくと、期限切れの証明書を設定するというミスも起こし易いためです。

下図を見ながら説明を読んでください。
1. 1回目の証明書を取得すると、そのNASなどが持っているサーバーのサービス毎に、この証明書が設定されます。
2. 同様にして2回目の証明書を取得すると、同様に2回目の証明書が、サービス毎に設定されます。
3. ここで、1回目の証明書の設定(configulation)を開くと、サービス毎に、1回目と2回目のどの証明書を設定するか選択することができます。
4. すなわち、1回目の証明書の設定の中なのに、そのサービスに対して、2回目の証明書を設定可能であるということです。1回目の証明書の設定をしているのに、2回目の証明書を含めることが出来てしまします。
5. このことを理解していないと、はりきりのようにつぼにハマってしまいます。
図の説明:

証明書の場所は、コントロールセンターのセキュリティ(Security) > 証明書(Certificate)です。

そこには、取得した回数分の証明書がリストされています。下図の例では、4つが確認できます。

その内の一番上の証明書を選択状態にして、設定(Settings)をクリックすると、下図のようにダイヤログが表示され、サーバーのサービス毎の証明書をどれにするか、ドロップダウンリストにより設定することができるようになっています。ドロップダウンリストには、全ての取得した証明書が表示されます。

図の例では、FTPSなどの全てのサービスの証明書(Certificate)は、「harikiri.diskstation.me」に設定されていることが分かります。

Webブラウザからの確認

Sarari表示から確認してみると、その証明書は最新のもになっていて解決したことを知ることができます。

サーバーに最新の証明書を強制的に使用させるには、NASの再起動が必要ですが、自動で再起動しない場合は、マニュアルで鎖再起動させます。

それでも、以下のように証明書を適切に設定して、サーバーの再起動というダイアログが出て再起動されたとしても、新しい証明書を使用しないことが何回もありました。最後は、NASの再起動により解決することができました。WebブラウザかNAS側か、いずれかは分かりませんが、キャッシャが関わっているものと思われます。
1. DSM → コントロールパネル → セキュリティ → 証明書から、証明書をセレクトする
2. 次に、構成(コンフィグレーション)をクリックし、当該NASに設定が必要なサーバーについて、その数だけ以下のように証明書を設定する
3. コンフィグレーションでの証明書の設定は、証明局(Let’s Encrypt)からの取得、あるいは他のNASからのインポートにより、現に存在する証明書を選択する
4. 基本的には、すべて同じ証明書を設定した後、「OK」を押すと、サーバーの再起動が開始されて、DSMに戻ってくる。
5. しかし、このDSMに戻ってきても、ウェブブラウザから接続を試行してみると、以前の古いままの証明書になっていることがある。僕の経験では、ほとんどがそうでした。
6. そこで、証明書を新しくしたものとして有効にするには、NASの再起動を実施することで、それが可能になります。
一般的な注意点
- Synology RouterやNASにLet’s Encrypt証明書を取得する時、及び、自動的に更新させるにはポート80 (及び443)を開けておく必要があります。
- 当サイトでは、複数のSynology製品があります。RouterとNAS x2 構成なのですが、80と443のポートは、もともとblogサーバーに設定されることが規定されています．更に、証明書の取得および自動更新も、80と443なので必然的にblogサーバーを介して証明書取得とその自動更新が行われることになります．
- 従って、80/443の設定は1台の装置にしかできないため、その他のネットワーク機器に対して証明書を適用させるためには、取得したblogサーバー用NASの証明書をエクスポートした証明書を使って、その他のNASなどにインポートするマニュアルの方法で対応するしかありません(スクリプトを書けばできるとは思う)。
- Let’s Encryptにおけるドメイン名に応じた証明書の取得数制限に引っかかった場合、その対処法は、Emailアドレスを変更したり、ドメイン名を変えたり(その場合、必要としているドメイン名をSubject Alternative Nameに設定する)
- 以上の設定方法の記載は、以下のSynology Siteに説明があります。
Synology DDNSを使用してSynology SSL VPNとWebVPNを設定する方法 – Synology –
https://www.synology.com/ja-jp/knowledgebase/SRM/tutorial/VPN/How_to_set_up_Synology_SSL_VPN_and_WebVPN_using_Synology_DDNS_service

証明書の自動更新がまだ

証明書の自動更新が有効かを確認します。先ずは、マニュアルによる証明書更新を実施してみます。はりきりの場合、エラーで更新ができませんでした。

調査した結果、外部アクセス設定で設定していたドメインにエラーが出ていたので、それを解決して、Let’s Encrypt証明書のマニュアルによる更新を行ってみました。その結果、無事に更新することができ3ヶ月先の期限延長を獲得できました。今回まででは、自動更新が可能かどうかは、確認ができていません。できているのは、マニュアル更新のみです。

以上の詳細として、以下に証明書のマニュアル更新/自動更新ができない時の設定を示した。
1. Routerは、Internetに繋がっており、DDNS設定で「harikiri.diskstation.me」を設定しており正常である。
2. Routerの転送ルールには、blog NASに対して、80/443を設定している。
3. Routerには、blog NASが有線で繋がっている。
4. blog NASのDDNS設定では、Routerと同じ「harkiri.diskstation.me」を設定していたが、Synologyとの通信でエラーとなっていた。
マニュアル更新が可能となった設定を以下に示した。
1. RouterのDDNS設定を削除した。
2. blog NASのDDNS設定を更新することで、正常に繋がることを確認した。
3. この状態で、Let’s Encryptのマニュアル更新を実行した。
設定後の結果
1. 上記の設定の結果、Let’s Encrypt 証明書(certificate)はマニュアルによる更新が可能となり、この日から3ヶ月先の日付に更新できた。
2. 証明書の自動更新ができるかどうかの確認は、3ヶ月後に確認する予定。
まとめ

DSMのセキュリティ > 証明書に行き，Let’s Encrypt 証明書を取得する．取得された証明書は，このウィンドウに証明書リストとして追加される．設定タブを選ぶと，NASの各サービスにリストされた証明書のうち，どの証明書を使用するのか設定することができる．すべてをLet’s Encrypt 証明書にしてもいいし，Synologyから取得した証明書を設定してもいい．しかし、この操作がミスを生みやすいので注意して設定すること。Web Serverが再起動して，証明書の再設定が行われる．しかし、再起動しない場合は、強制的に再起動させる。それでもダメなら、NASを再起動させる。

教訓
- Synology NASの証明書の設定において、期限切れと表示されている証明書(Let’s Encrypt)は、削除しておくべし。新しい証明書を作成またはインポートして、デフォルトに設定していたとしても、期限切れの証明書を間違えて設定しているなどのミスを起こしやすいため。
- そもそも、証明書を設定し直すとサーバーが再起動するはずです。再起動がない場合、証明書が更新されていないことを疑う。NASのDMSの不具合の可能性も考える。
その他情報
- RT2600ac/RT6600axの証明書の位置
  - コントロールパネル → サービス → 証明書
編集履歴
```
2019/08/08 Mr. Harikiri (blog NAS: DS918+)
2020/12/31、追記　(教訓)
2021/02/26、追記 (blogサーバー用NASの証明書(Let’s Encrypt)は自動更新されていたが、80, 443ポートが空いていない、他のNASは自動更新されないので、自動更新された証明書をエクスポートして、それをインポートする運用で対応するしかない)
2022/11/13、文言整備
2022/12/20, 追記 (Let's Encryptの自動更新ができるかどうか挙動を確認したが自動更新されず) (証明書の設定)
2023/02/25, 追記(マニュアルによる証明書の更新がてきないことに気づいた。その原因)、文言整備
```
2019年9月8日

[WP] Googleのルールに合致させるためにWordPressのfunctions.phpやsitemap.xmlの設定方法を検討する [2024/01/05]

Post Views: 62

はじめに

以前からサイトマップやSEOについては適当にしてきた．2024/01/03, 現在，以下の表のように当サイトには不具合が存在している．サイトマップやSEOプラグインなどの設定が不適切だと，これら不具合が「Google Search Console > ページ」に表示される．ページのクロール完了時期の確認から，Googleのクロールは当サイトのページ数で，クロールが完了まで1カ月程度を要しているようなので，今日からコツコツと改善作業を進めていきたいと思う．

先ずは，404については「サイトのトップ」にリダイレクトさせるコードをfunctions.phpに記載してみた．以後，様子を見ていくことにする．

ページのエラー(不具合)

当サイトのページ/投稿に関する具体的な不具合に関する表示は以下とおり．

ページがインデックスに登録されなかった理由
インデックスに登録されていないページは Google で配信することができません

理由	ソース	確認	ページ
ページにリダイレクトがあります	ウェブサイト	開始	6,555
代替ページ（適切な canonical タグあり）	ウェブサイト	開始	616
見つかりませんでした（404）	ウェブサイト	開始	453
noindex タグによって除外されました	ウェブサイト	開始	122
robots.txt によりブロックされました	ウェブサイト	開始	101
ソフト 404	ウェブサイト	開始	4
重複しています。ユーザーにより、正規ページとして選択されていません	ウェブサイト	開始	4
クロール済み – インデックス未登録	Google システム	開始	1,125
重複しています。Google により、ユーザーがマークしたページとは異なるページが正規ページとして選択されました	Google システム	開始	13
検出 – インデックス未登録	Google システム	開始	1

プラグインなし WordPressのXMLサイトマップを自動更新する方法！
https://bloosh.jp/tips/4646/

2023/01/05, Google Search Consoleに「クロール済み – インデックス未登録」というページが増えてきますが，これをnoindexに設定する方法です．

参考文献にその方法が述べられている．

feedページをnoindexにして低品質ページを見つけやすくする方法
https://bluegoat.jp/blog/feed-noindex/

2019/08/11, 2018/12からSynology NASにWordPressを立ち上げているのに、この年が明けて8がつになっても一向にアクセスが無いのはなぜだ。

サイトマップの登録をSearch engineに正しく実施できていないのか? Allin One SEO pack, XML sitemap & Google Newsなどのプラグインを同時に導入していたため競合して正しくサイトマップを送信できていなかったみたいだ。

今回は、Google XML Sitemapというプラグンを新たにインストールしてその他を停止して様子をすみてみる。

Google Search Consoleに登録	https://saruwakakun.com/html-css/wordpress/sitemap
Googlebotが真正かの確認	https://support.google.com/webmasters/answer/80553
Googleクローラ	https://support.google.com/webmasters/answer/1061943?hl=ja
サイトマップを読み込ませる	https://www.mikanusagi.com/entry/2019/04/19/%E3%80%902019%E5%B9%B44%E6%9C%88%E3%80%91%E3%82%B5%E3%82%A4%E3%83%88%E3%83%9E%E3%83%83%E3%83%97%E3%81%8C_Google_Search_Console_%E3%81%AB%E6%A4%9C%E5%87%BA%E3%81%95%E3%82%8C%E3%81%AA%E3%81%8F%E3%81%AA
【令和版】Googleインデックスを早める6つの方法WordPress編	https://homepage-picnic.com/seo/google-index-wordpress/

編集履歴

2019/08/11, Mr.HARIKIRI
2023/01/03, 追記(Google Search Consoleでサイトの状況を確認)，タイトル訂正
2023/01/05, 追記(feedページをnoindexに設定する方法)，タイトル訂正

2019年8月11日

[WordPress] SPAM Management – Throws SPAM away プラグイン – スパムコメントの排除 [2019/08/07]
Post Views: 204

Throw SPAM away

は、ロボットや冷やかしのコメント対策のプラグインです。
- Throws SPAM away プラグインのインストール
- 機能
  - 日本語が無いコメントは無視する
- 設定
  - コメント入力欄の近くに、”Please copy and paste Japanese Title of this site to your comments”を記述した。
  - ロボットでなければ、この記載を読んでくれると思う。
  - 2019/08/28 スパムコメントは全くこなくなった
編集履歴
```
2019/08/28 Mr.はりきり
2020/07/28 文言整備
```
2019年8月7日
[Synology] NASからexFATファィルフォーマットにアクセスするにはexFAT accessをインストール [2020/04/14]
Post Views: 455

ID182

exFAT Access

「exFAT Access」アプリは、Linux系OSでexFAT形式のファイルフォーマットにアクセスできるようにします。

Synology NASとWindowsとの間でファイルをUSBメモリーで共有する場合、Linux系とWindows系の間で共通にアクセスできる機能が必要です。

そこで、Synology NASのパッケージ・リストにはexFATにアクセスするパッケージがリストされています。

exFATファイルフォーマットは、最近のメディア事情に合わせて、長いファイル名やサイズが大きいファイルの読み書きができるフォーマットです。

でも、exFAT Accessはフリーでないため、インストールするには、若干の費用が必要です。

exFAT Accessパッケージの価格は、USD 3.99 (2020/01)。

パッケージセンターからインストールしましょう。

exFAT

USB Copy

「USB Copy」アプリは、USBメモリーをNASに挿すと自動認識してコピーを開始し、コピー後のソースファイルの削除設定も可能です。USB Copyは、パッケージセンターからインストールします。

設定内容

概要ページ

タスク設定ページ

コピー先の設定とコピー後に元ファイルを削除するように設定しました。

起動時間ページ

「USB/SDストレージデバイスが挿された時には、いつでもデータをコピーする」にチェックすると、自動的にコピーされるようになります。

ファイルフィルタページ

使用するファイルタイプを指定しておきます。

メモリガードに撮りためたゲームの動画を定期的にNASに一時保管するために使用しています。

まとめ

WindowsやNintendo SwithcのSDカードをアダプターでUSB接続し、NASの指定フォルダーにファイルを一括コピーし、その後ソースファイルを消去して、SDカードをクリアにします。

メモリーをNASのUSB端子に差し込むと、自動的に認識されコピーが開始されます。処理が完了すれば、アラームが「ピー」っと鳴り完了です。

編集履歴
```
2019/12/04 追記
2020/03/22 文言整備、記事の内容の見直し
2020/04/14 USB Copyの設定ページを追加
2021/01/05 文言整備
```
2019年7月28日

タグ: Synology

Synology Router RT2600ac

Rule Set

Threat Prevention

Web Application Attackとは(参考1)

1. Web Applicationの仕組み

2. Web Application Attack (Webアプリケーション攻撃)

重大度が高の統計結果

参考

編集履歴

PhotoStation

YouTubeへのアップロード

ブログからのリンク方法

編集履歴

RT2600ac

アラートが来なくなった

原因

結論

編集履歴

はじめに

暗号化の意義

データ流出のケースは大きく2つ

1. ネットワークを介したデータ流出

2. 物理的な流出

暗号化方式の解説

暗号化に関する用語

暗号キー

キーマネージャ

キーマネージャのパスフレーズ

キーストア

暗号化共有フォルダの作成とマウント/アンマウントの方法

新規の暗号化共有フォルダを作る

キーストアの初期化

キーストアの初期化の図解

暗号化共有フォルダのマウント

パスフレーズでマンウト

外部デバイスでマンウト

暗号化共有フォルダのアンマウント

既存のフォルダを暗号化

実際の運用の詳細

まとめ

1. マニュアルによるマウント

2. インポートファイルによるマニュアル・マウント

3. 外部デバイスによるマウント

4. キーマネージャによる自動・マウント

編集履歴

はじめに

アルバムへのパスワード設定と原理

概要

DS Photoから行う

DSMから行う

編集履歴

はじめに

証明書

Let’s Encrypt 証明書の取得制限

Let’s Encrypt 申請内容

証明書取得後の設定

Webブラウザからの確認

一般的な注意点

証明書の自動更新がまだ

まとめ

教訓

その他情報

編集履歴

はじめに

ページのエラー(不具合)

編集履歴

Throw SPAM away

編集履歴

exFAT Access

USB Copy

設定内容

概要ページ

タスク設定ページ

起動時間ページ

ファイルフィルタページ

まとめ

編集履歴