Categories
重點摘要
NAS 防勒索最重要的三件事：不讓 NAS 直接暴露在網際網路上、修補程式一發布就更新、保留一份勒索病毒碰不到的備份（離線或不可變）。做到這三件事，就能大幅降低 NAS 遭勒索的損失。
這份檢核表共 6 大類、27 個項目，適用於家用、SOHO 與中小企業的 NAS。不需要資安專業知識，也能自行檢查。
| 項目 | 內容 |
| 適用對象 | 家用 NAS 使用者、SOHO、中小企業 IT 管理人員 |
| 適用系統 | 以 QNAP QTS / QuTS hero 為例說明，觀念適用於所有品牌的 NAS |
| 最後更新 | 2026 年 11 月 |
為什麼 2026 年 NAS 特別容易成為勒索目標？
NAS 容易成為勒索病毒的目標，是因為重要資料都集中在同一個地方，而且 24 小時連網。家庭或公司的照片、文件、業務資料都存在 NAS 上，很多人還會設定成在外面也能連線存取。打個比方，這就像把家裡所有貴重物品放進同一個保險箱，再把保險箱擺在家門口。攻擊者會替這個保險箱再加一道鎖，然後要求「想打開就付贖金」。裡面的東西越重要，願意付錢的人就越多，NAS 也因此成為攻擊者眼中的高價值目標。
- 不分品牌，攻擊模式都很類似。過去幾次大規模攻擊，鎖定的都是直接暴露在網際網路上的 NAS。入侵管道不只作業系統本身，備份、相片管理等應用程式的漏洞也會被利用。有些漏洞在修補程式推出前就遭到利用，也有些設備在修補後仍未更新，持續成為攻擊目標。
- 備份本身也是攻擊目標。勒索病毒只要能寫入共用資料夾，就能把同一台 NAS 上、或 NAS 可寫入之儲存空間上的備份一併加密。一旦管理員權限被奪取，連快照都可能被刪除。
- 檔案被加密後，幾乎沒有免費的解密工具。新型勒索病毒會替每個檔案使用不同的金鑰。想救回資料，只能靠攻擊者碰不到的快照或備份。
常見的破口往往不是高深技術，而是日常設定：路由器開了通訊埠轉送、韌體或應用程式沒有即時更新、預設的 admin 帳號還在、備份和原始資料放在同一台設備上。所以「不對外暴露」「即時更新」「在另一個地方保留備份」這三件事，必須同時做到。
NAS 防勒索 2026 檢核表（6 大類、27 項）
項目依優先順序排列。這裡介紹的是業界通用的標準做法，不論使用哪個品牌的 NAS 都適用。括號內附上 QNAP NAS 的對應功能，QNAP 使用者可作為設定時的參考。
A. 網路暴露面：不讓外部直接連到 NAS
1. NAS 接在路由器後方，不直接連接數據機或公用 IP。
2. 關閉路由器的 UPnP、DMZ 與通訊埠轉送（Port Forwarding）。若因業務需求必須開放，至少不要轉送 NAS 的管理與檔案傳輸埠（如 HTTP 80/8080、HTTPS 443、SMB 445、FTP 20/21 及被動埠範圍）。同時停用路由器的 WAN 端遠端管理，並確認 IPv6 防火牆已阻擋外部連入，避免內部服務直接暴露於網際網路。
3. 執行安全檢查，確認 NAS 沒有暴露在網際網路上（Security Center → Security Checkup）。
4. 遠端存取改用 VPN，或不需開放通訊埠的連線方式（QVPN Service、myQNAPcloud Link）。
5. 停用沒在使用的服務，不需要的直接移除（Telnet、SSH、Web Server 等）。每多開放一個對外服務，就多一個攻擊面。
B. 更新：縮短「修補已發布、卻還沒安裝」的空窗期
6. 啟用作業系統自動更新（控制台 → 韌體更新）。
7. 啟用應用程式自動更新；沒在使用的應用程式不只停用，而是直接移除（App Center）。
8. 訂閱廠商的資安通報，高風險漏洞一公布就立即更新（QNAP 資安通報）。已確認遭到利用的漏洞，最遲應在 2 週內處理，這是美國 CISA 對聯邦政府機關的要求標準。
註：只要啟用自動更新（第 6 項），大多數情況下都能在這個期限內完成更新。
9. 確認機種是否已停止支援（EOL）。EOL 機種不會再收到安全性修補，請務必讓它退出網際網路，只在內部網路使用。企業的維運團隊應負責管理，並規劃汰換（產品支援狀態）。
C. 帳號與權限：就算密碼外洩，也進不來
10. 停用預設的「admin」帳號，另外建立管理員帳號（QNAP QTS 5.2.0 / QuTS hero h5.2.0 以上版本已預設停用 ）。
11. 所有帳號都啟用兩步驟驗證（多重要素驗證 MFA）或無密碼登入。不只管理員帳號，一般帳號也要啟用。
12. 啟用存取保護，登入失敗次數過多時，自動封鎖 IP 或停用帳號。
13. 平常存取檔案時，使用非管理員的一般帳號。
- 個人：建立一個一般帳號，用電腦或手機連 NAS 時都用這個帳號。管理員帳號只在變更 NAS 設定時使用。
- 企業：每位員工各自建立帳號，只開放業務所需資料夾的寫入權限。
如果是電腦中毒，勒索病毒會透過該電腦連線 NAS 時使用的帳號加密檔案，受害範圍取決於這個帳號有寫入權限的資料夾。若用管理員帳號連線，NAS 上所有資料夾都可能被加密，連快照都可能被刪除。（若 NAS 本身遭入侵，則所有資料都有風險。）
14. 定期刪除離職員工與不再使用的帳號。
D. 備份：保留一份勒索病毒碰不到的副本
先從這三件事開始：家用最低限度版
如果 3-2-1-1-0 一下子很難做到，只要先做到以下三件事，就能達到「即使被勒索病毒加密，也救得回來」的狀態。
- NAS 內：每天自動快照。誤刪的檔案或被加密的檔案，幾分鐘內就能還原。快照只記錄有變動的部分，就算每天拍，占用的空間也不會增加太多。只要啟用自動整理舊快照的設定（智慧型版本控制、智慧快照空間管理），就不必擔心可用空間。另外，建議至少將一份快照設為「永久保留此快照」，避免被自動清除。
- NAS 外：再多一份備份。存到平常不接上的 USB 外接硬碟，或雲端空間（例如 myQNAPcloud One）。重點是不會和 NAS 同時被加密。
- 每年幾次：實際還原一次看看。從備份還原一張照片，確認能正常開啟 。
做到這三件事，就能先補上 3-2-1-1-0 中特別關鍵的兩個環節：一份與 NAS 分開保存的備份，以及定期確認備份真的能還原。
如果是公司使用，或想建立更完善的備份機制，請繼續參考下方的完整版：
15. 採用 3-2-1-1-0 備份法則：3 份資料、2 種儲存媒介、1 份異地、1 份離線或不可變、0 還原錯誤。
16. 至少一份備份放在另一台設備或雲端，並保留多個版本。只留最新一個版本的話，可能會被加密後的檔案覆蓋（Hybrid Backup Sync 3）。
17. 至少一份備份平時與網路斷開，只在備份時才連線（Airgap+）。
18. 至少一份備份設為不可變。在保留期間內無法透過一般操作修改或刪除，即使管理員權限被奪取，備份依然留存（QuTS hero 的 WORM 資料夾、myQNAPcloud One）。
19. 定期實際從備份還原，確認檔案能正常開啟。就算有備份，關鍵時刻救不回來也沒有意義。
- 個人：每年幾次，從備份還原一張照片或一份文件，確認能開啟。
- 企業：將還原測試自動化。例如 HDP for Business 會在每次備份完成後，自動執行還原與開機測試，並留下測試紀錄。
E. 快照：被加密時最快的還原途徑
20. 替重要資料設定每日或每週的排程快照（儲存與快照總管 → 快照管理員）。QuTS hero 可針對每個共用資料夾個別設定；QTS 以磁碟區為單位設定，建議將重要資料放在已設定快照的磁碟區。
21. 替快照設定保留期限，並啟用防刪除保護。在保留期間內無法透過一般操作修改或刪除，即使管理員權限被奪取，快照依然留存（智慧型版本控制、不可變快照）。
22. 將快照複寫到另一台 NAS（Snapshot Replica；QuTS hero 亦可使用 SnapSync）。
23. 啟用智慧快照空間管理，避免空間不足導致快照停止建立。
F. 監控：在全部被加密前就發現異常
24. 掃描排程至少每月一次，並開啟「異常檔案活動監控」（Security Center）。
25. 啟用防火牆基本防護，並設定所在地區（QuFirewall 的 Basic protection）。
26. 惡意程式掃描排程設為每天一次（Malware Remover）。
27. 「警告」與「錯誤」事件自動以電子郵件通知（通知中心）。
NAS 中了勒索病毒怎麼辦？第一時間該做的 6 個步驟
如果檔案的副檔名變成沒看過的樣子，很可能已經感染勒索病毒。勒索病毒大多採用無法破解的加密方式，沒有正確的金鑰就無法打開檔案，通常只能從備份或快照還原。請依照以下順序處理：
- 讓 NAS 退出網際網路。第一時間拔除 NAS 的乙太網路線並切斷 Wi-Fi；修改路由器的通訊埠轉送等設定，避免 NAS 暴露在外，防止二次攻擊。
- 暫停同步任務，保住快照。暫停所有檔案同步任務，並將現有快照設為永久保留，避免備份遭到刪除。
- 確認加密從哪裡來。檢查 NAS 的系統存取日誌（Access Logs）與連線紀錄，判斷加密動作是來自其他電腦，還是 NAS 本機遭入侵直接加密。
- 完成掃描與更新後再還原。若為 NAS 本體感染，先執行原廠安全性掃描工具（如Malware Remover）徹底清除惡意腳本，並將韌體更新至官方修補最新版，再從備份或快照還原檔案。
- 沒有備份時，先保留資訊再嘗試救援。先保存勒索信與付款方式等資訊，再嘗試資料救援工具。
- 不確定怎麼處理時，請聯絡廠商技術支援或資安專業人員。
常見問題（FAQ）
我的 NAS 安全嗎？要怎麼檢查？
首先確認 NAS 是否處於可從外部直接存取的狀態。執行廠商提供的安全檢查功能（QNAP 為 Security Center 的 Security Checkup），如果出現可從網際網路直接存取的警示，就代表 NAS 已暴露在外網。
怎麼判斷 NAS 是否感染惡意程式？
出現以下狀況時，可能已經感染惡意程式：處理器負載異常升高、軟體無法更新、應用程式管理畫面出現不明的應用程式。請先用最新版的惡意程式掃描工具進行掃描（QNAP 為 Malware Remover），若問題仍未解決，請聯絡廠商技術支援。
家用 NAS 的資料保護，最少要做到哪些事？
請從以下三件事開始：① 在 NAS 內每天自動拍攝快照。② 在 NAS 外多留一份備份（平常不接上的 USB 外接硬碟，或 myQNAPcloud One 等雲端空間）。③ 每年幾次，從備份還原一個檔案試試看。詳細說明請參考本文「先從這三件事開始：家用最低限度版」。
什麼是 immutable backup（不可變備份）？
不可變備份是在設定的保留期間內，無法修改也無法刪除的備份，代表性的做法是 WORM（Write Once, Read Many）。就算攻擊者奪取了管理員權限，在保留期間內也無法透過一般操作修改或刪除這些資料。不過保留期間結束後就能刪除，因此期限的設定很重要（QNAP 為採用 ZFS 檔案系統的 QuTS hero 的 WORM 資料夾、myQNAPcloud One（myQNAPcloud Storage 的 WORM；myQNAPcloud Object 的 Object Lock）等）。
3-2-1 備份和 3-2-1-1-0 備份有什麼不同？
3-2-1 是指資料保留 3 份、存放在 2 種儲存媒介、其中 1 份放在異地。3-2-1-1-0 則是在此之上，再加上「1 份離線或不可變」與「0 還原錯誤（定期測試還原）」。
有 RAID 就能防勒索嗎？
不能。RAID 只能應對硬碟故障，無法保護誤刪、誤改或被加密的資料。RAID 不能取代備份。
有同步（Sync）就算是備份嗎？
不算。同步會把原始檔案的變更直接反映到同步目的地。檔案一旦被加密或刪除，同步目的地也會變成相同的狀態。備份則是保留過去的版本，讓資料能回到變更前的狀態。
有快照就不需要備份了嗎？
快照無法完全取代備份。快照和原始資料位於同一組硬碟上，而且管理員權限被奪取時，快照也可能被刪除。發生硬體全毀、儲存池崩潰、或底層被格式化，快照將一併遺失。真正的防護必須遵循「快照作為第一線快速還原，異地/離線不可變備份作為最終防線」的互補原則。
把 NAS 完全斷網是不是最安全？
不建議。完全斷網會讓 NAS 無法接收安全性更新與通知。重點在於限制外部連進 NAS 的流量。需要在外面使用時，請選擇不必開放路由器通訊埠的連線方式。使用 VPN，或廠商提供的中繼型遠端連線服務，就能在 NAS 不暴露於網際網路的情況下存取（QNAP 為 QVPN Service、myQNAPcloud Link）。
沒有對外開放，就不用擔心嗎？
不能說絕對安全。公司或家中的電腦等設備一旦受到感染，威脅可能從那裡擴散到 NAS。企業也可以考慮導入偵測內網可疑活動的機制（例如：QNAP 的 ADRA NDR X 內網資安防禦解決方案）。
一直收到登入失敗警告，代表什麼？
如果來源是外部 IP 位址，代表 NAS 正遭受暴力破解（以大量密碼組合反覆嘗試登入）攻擊，而且已經暴露在網際網路上，請立即檢查路由器設定。如果來源是內部 IP 位址，請檢查該電腦是否感染惡意程式。
舊機種或已停止支援的 NAS 還能用嗎？
可以使用，但建議讓它退出網際網路、只在內部網路使用，並保留完整備份。停止支援的機種不會再收到安全性修補，新的漏洞會一直存在。
關於本文
這份檢核表的背景
現實中沒有零風險的系統，真正的安全來自持續的修補與架構進化，並搭配安全的操作環境與設定觀念來共同防護。2019 年起，QNAP NAS 陸續成為 eCh0raix 等勒索病毒的攻擊目標；2021 年與 2022 年，QNAP 產品中的應用程式漏洞也曾遭勒索病毒利用，影響部分使用者。我們從這些事件中汲取經驗，在資安工程與架構設計上有紮實的轉變，持續推動嚴謹的應用程式自動更新、預設啟用快照、新增阻擋惡意連線的防火牆規則等措施。這份檢核表的許多項目，正是來自當時的調查與應變經驗。
QNAP 於 2017 年成立產品資安事件應變團隊（PSIRT），同年獲 MITRE 授權成為 CVE 編號授權單位（CNA），並自 2022 年起推動安全漏洞獎勵計畫。針對高風險漏洞，在韌體更新完成前，QNAP 也會優先透過 Malware Remover 更新惡意軟體定義，阻擋攻擊。相關做法都公開在 QNAP 信任中心。
參考資料
本文之部分文字與影像素材係透過 AI 技術輔助生成，並經由作者檢視與審核，以確保內容品質。
