- Un NAS Synology mal configuré et exposé directement sur Internet est une cible fréquente des attaques automatisées, y compris de ransomwares spécifiquement conçus pour ces appareils.
- Les trois réflexes essentiels : ne jamais exposer le NAS directement sur Internet, activer la double authentification, et maintenir DSM à jour.
- Une sauvegarde 3-2-1 reste la meilleure protection contre un chiffrement réussi malgré toutes les précautions.
Le NAS Synology est devenu un pilier du stockage pour de nombreuses PME : fichiers partagés, sauvegardes, parfois même serveur de messagerie ou d’applications métier. Cette centralisation en fait aussi une cible particulièrement intéressante pour les attaquants, qui ont développé des campagnes automatisées ciblant spécifiquement ces appareils exposés sur Internet. Ce guide détaille comment sécuriser durablement un NAS Synology en environnement professionnel.
1. Ne jamais exposer directement le NAS sur Internet
La pratique la plus risquée reste l’ouverture de ports (5000, 5001, ou pire, les ports d’accès aux fichiers) directement vers Internet sur votre box ou pare-feu. Des scanners automatisés parcourent en permanence l’ensemble d’Internet à la recherche de NAS exposés de cette façon, et exploitent la moindre faille ou le moindre mot de passe faible dès qu’ils en trouvent un.
| Méthode d’accès distant | Niveau de risque | Recommandation |
|---|---|---|
| Ports ouverts directement (port forwarding) | Élevé | À éviter absolument |
| QuickConnect (service Synology) | Modéré | Acceptable avec 2FA et bonnes pratiques |
| VPN (Synology VPN Server ou pare-feu tiers) | Faible | Recommandé pour un usage professionnel |
2. Activer la double authentification (2FA)
Comme pour tout compte administrateur, la double authentification sur le compte admin du NAS bloque la grande majorité des tentatives de connexion frauduleuse, même en cas de mot de passe compromis. Synology propose cette option nativement dans DSM (Panneau de configuration → Sécurité → Authentification à 2 facteurs).
3. Maintenir DSM à jour
Synology publie régulièrement des mises à jour de sécurité pour DSM (DiskStation Manager), le système d’exploitation du NAS. Plusieurs vulnérabilités critiques exploitées par des campagnes de ransomware ont concerné des versions de DSM non mises à jour depuis plusieurs mois. Activer les mises à jour automatiques pour les correctifs de sécurité reste la mesure la plus simple à mettre en place.
4. Le compte administrateur : la porte d’entrée à verrouiller
- Renommer ou désactiver le compte « admin » par défaut, cible numéro un des attaques par force brute.
- Activer le blocage automatique après plusieurs tentatives de connexion échouées (Panneau de configuration → Sécurité → Protection du compte).
- Restreindre les adresses IP autorisées à se connecter à l’interface d’administration si possible.
5. Synology Security Advisor : votre allié intégré
L’application Security Advisor, intégrée à DSM, réalise un audit automatique de la configuration du NAS et propose une liste priorisée de recommandations : mots de passe faibles, services inutilement exposés, mises à jour manquantes. C’est un excellent point de départ pour évaluer votre niveau de sécurité actuel en quelques minutes.
6. Sauvegarder le NAS lui-même : la règle 3-2-1
Un NAS n’est pas à l’abri d’un ransomware, d’une panne matérielle ou d’un vol. La règle de sauvegarde 3-2-1 s’applique aussi à lui : au moins 3 copies des données, sur 2 supports différents, dont 1 hors site (par exemple via Hyper Backup vers un stockage cloud ou un second NAS distant). Un NAS Synology qui n’est lui-même jamais sauvegardé reste un point de défaillance unique.
📋 Checklist de sécurisation NAS Synology
- Aucun port n’est ouvert directement vers Internet sur le NAS.
- L’accès distant se fait via VPN ou QuickConnect avec 2FA activé.
- DSM est à jour, avec les mises à jour de sécurité automatiques activées.
- Le compte admin par défaut est renommé ou désactivé.
- Le blocage automatique après échecs de connexion est activé.
- Security Advisor a été lancé et ses recommandations traitées.
- Une sauvegarde 3-2-1 est en place, avec au moins une copie hors ligne ou hors site.
❓ FAQ
❓ QuickConnect est-il sûr à utiliser ?
QuickConnect, correctement configuré avec 2FA activé, est une option raisonnable pour un usage professionnel modéré. Pour une entreprise avec des besoins d’accès distant réguliers, un VPN reste néanmoins l’option la plus robuste.
❓ Un antivirus sur le NAS suffit-il à le protéger ?
Non : un antivirus sur le NAS (comme Synology Antivirus Essential) détecte les fichiers malveillants déjà présents, mais ne remplace pas les mesures de fond (accès distant sécurisé, 2FA, mises à jour) qui empêchent l’intrusion initiale.
❓ Que faire si le NAS a déjà été touché par un ransomware ?
Isolez immédiatement le NAS du réseau, ne payez pas la rançon, et restaurez à partir d’une sauvegarde hors ligne si elle existe. Signalez l’incident et consultez un professionnel pour analyser l’origine de la compromission avant de remettre le NAS en service.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Réseaux, pare-feu et accès distants : Julien décortique les infrastructures pour que la sécurité ne rime pas avec usine à gaz, du VPN au NAS en passant par le pare-feu.
