SMB via Internet auf NAS

[Wolke2k4 11]

Moin zusammen,

 

hat mal jemand eine gute Quelle, die erklärt, warum es keine gute Idee ist SMB via Internet/Portforwarding freizuschalten, selbst wenn das dahinterliegende System ein NAS ist (mit AD Anbindung wohlgemerkt).

 

Das das grob fahrlässig ist, ist mir schon klar aber ich brauch etwas mehr als nur mein Bauchgefühl.

[Sunny61 773]

Weil man es nicht macht. ;)

 

Man kann sich einen Nextcloud oder Owncloud Server mit einem Raspberry hinstellen und das NAS passend einhängen. Der Nextcloud/Owncloud Server kann dann via https in die freie Welt losgelassen werden.

[daabm 1.185]

SMB ist i.d.R. unverschlüsselt - das willst Du nicht im Internet transportieren ohne einen Tunnel drum rum.

[Damian 1.401]

Hi

 

vor 3 Stunden schrieb Wolke2k4:

Das das grob fahrlässig ist, ist mir schon klar aber ich brauch etwas mehr als nur mein Bauchgefühl.

Stichwort: WannaCry (schöne Historie: https://de.wikipedia.org/wiki/WannaCry)

 

Dein NAS wird sehr wahrscheinlich mit einem Linux als Basissystem und SAMBA-Komponenten arbeiten. Für SAMBA gab/gibt es ebenfalls einen WannaCry-ähnlichen Angriffsvektor auf die alte SMB-Version. Was läuft denn so auf Deinem Gerät? Wenn ein Angreifer Dein NAS knackt, ist er darauf Admin und kann gemütlich sich an Dein AD ranwanzen. Ich denke, das willst Du nicht.

 

Außerdem leuchtet eine SMB-Freigabe im Internet auf den Portscannern wie die berühmte rote Laterne im Pufffenster. So eine Freigabe lockt auch Script-Kiddies und "Ich bin ja so cool"-Möchtegernhacker der untersten Kategorie an. Freiwillig würde ich mir das niemals antun.

 

Nagel die SMB-Ports auf Deiner Firewall zu und befolge den Rat von Sunny61. Stell ein gut konfiguriertes und gesichertes System davor. Sonst hast Du wahrscheinlich noch vor Weihnachten unfeine Besucher in Deinem Netz.

 

VG

Damian

 

[Weingeist 157]

Diese ganzen NAS-Dinger haben so viele Lücken, die Geräte, Funktionen, Apps ändern dermassen schnell, die würde ich so oder so nie direkt ins Netz stellen. Ziemlich egal wie gut sie abgesichert sind. Jetzt mal ganz unabhängig von SMB ;)

[testperson 1.534]

Hi,

 

da könnte (derzeit nur in Azure) SMB over QUIC ein Ansatz sein/werden: SMB over QUIC | Microsoft Docs

 

Gruß

Jan

 

[Wolke2k4 11]

Danke für den Input. Ging dem Nutzer hier am Ende um WebDAV Zugriff aber das habe ich nun druch VPN Zugriff entsprechend verargumentieren können.

[NorbertFe 1.804]

WebDAV ist aber nicht smb. Also diskutierte man hier die ganze Zeit über was anderes.

[MurdocX 904]

Ich denke man muss es nicht erklären, sondern nur etwas verdeutlichen: Vorsicht: Erpressungs-Trojaner eCh0raix greift erneut QNAP-Nutzer an - WinFuture.de

[zahni 521]

Noch ein Grund: SMB-Verkehr bzw. dessen Ports wird bei einigen Providern gefiltert.