セキュリティ／コントロールパネル・Synology-NASの活用

基本的なセキュリティ設定を行うタブです。以下に、各設定項目を書き出し、簡単な説明をつけておきました。
内容を見る限り、初期値のままで十分です。

下図は、iFrame埋め込み許可の管理画面です。

下図は、信頼するプロキシーの管理画面です。

アカウントの種類ごとに２要素認証の設定が行えます。より重要なアカウントグループには２要素認証を徹底するなどの施策が可能です。そして、アカウントの保護にて、アカウント保護のトリガー条件を設定できます。

アカウント保護をチェックし、ブルートフォース攻撃に備えます。
パスワードを総当たりで試行して突破する攻撃をブルートフォース攻撃と言います。有効にすると、この攻撃によるパスワードの漏えいを防ぎます。

ファイアウォールを有効にするをチェックするとファイアウォールが有効になります。ファイアウォール通知を有効にするをチェックするとファイアウォール処理が適応された際に解除オプションがあれば、その旨を通知し解除を促せます。

ファイアウォールのプロファイルをカスタマイズすることが出来ます。

ファイアウォールのルールの作成画面です。ポートおよびIPアドレスを設定し、許可／拒否を設定ます。

自動ブロック機能を有効にすると、何度もログインに失敗したクライアントの IP アドレスが登録されてしまいます。こちらの保護が有効となってしまうと「アカウント保護」「保護」の双方を解除する必要がありますので注意が必要です。ホワイト／ブロックリストにて適切に管理する事で、NASのセキュリティを効率よく向上出来ます。
設定項目に関しては「アカウント保護」と意味する内容は同じなので省略します。

NASへの接続IPアドレスのホワイト／ブロックリスト管理画面です。接続許可を与えるネットワーク（あるいは機器ごと）のIPAアドレスはホワイトリストに、接続を拒止したい機器ごと（あるいはネットワーク）はブロックリストに登録します。
例えば、ホワイトリストに登録されたIPアドレスからのログイン失敗はアカウント保護のルールに従って再チャレンジする事ができます。ブロックリストに登録されていたらそもそも接続できません。

IPアドレスの設定画面です。

「自己署名証明書があれば暗号処理ができるので、個人利用だったら十分だよ。」という考えをよく聞きますが、それは違います。安心だと思い込んでいるそのサイトがもしも偽装されていたら一巻の終わりです。証明書暗号の代表となるPKIは第三者の信用があってこそ、成立する仕組みなのですから。
少し話がそれますが、だからこそAKIを考案しました。AKIは、それこそ自己署名証明書の手軽さでSSL通信相当の適切な暗号通信を実現します。

適切な証明書なら「信用できない接続ですが良いですか？」とブラウザーから警告される事もなくなります。Let’sEncriptの導入支援が組み込まれているので、一手間をかけるだけで、適切なサイト証明書を自動更新付きで導入できます。この手軽さは、本当にありがたいです。
私は、本ブログサイトにLet’sEncriptを導入しています。だからこそ、この至れり尽くせり感がすごく良いです。(^^)

さて、SSL証明書の管理を行います。最初に入っている証明書は、Synology社の自己証明書です。外部アクセスを行う際には、追加にてお使いの証明書を、あるいは新規作成して導入してから設定に入ってください。

証明書追加のパネルです。新しい証明書を追加してくださいを選択すると、NASシステムへ新たに証明書を追加し、サービスへの適応は行われません。既存の認証を置き換えますを選択すると、既存の証明書設定はそのままに証明書を置き換えます。

お使いの証明書を導入する場合は証明書のインポートを行います。Let’sEncriptからの証明書をお受け取りくださいを選択するとLet’sEncriptの証明書作成と登録が行われます。規定値としての証明書に設定しますをチェックすると、NASの規定の証明書として割り当てられます。

設定タブではNASのサービスごとに証明書を割り当てる事ができます。

HTTP 圧縮を有効にするをチェックするとHTTP通信に圧縮処理が施されます。データが圧縮されることで通信のトラフィックが改善されWebページの読み込み速度が向上します。TLS / SSL プロファイル レベルにて、HTTPSへ適応するTSLを設定できます。

• 最新の互換性：TLS 1.3
• 標準の互換性：TLS 1.3/1.2
• 古い下位互換性：1.3/1.2/1.1/1.0

また、特定のサービスに対して個別にTSLを設定することもできます。

特定サービスごとのTLS / SSL プロファイル レベル設定画面です。