NAS im Unternehmenseinsatz Synology-Apps stärken Sicherheit und Betrieb auf dem NAS

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FTAPI Software GmbH

Ein sicher konfiguriertes Synology-NAS kann viel mehr als nur Daten spei­chern. Mit den passenden Apps stärken Unternehmen Sicherheit und Be­trieb. Hyper Backup und Active Backup für Datensicherung und Wie­der­her­stel­lung, Protokoll‑Center und Proxy Server schaffen Transparenz, MFA und VPN schützen Zugänge. RADIUS und OAuth zentralisieren Au­then­ti­fi­zie­rung, VMM und Surveillance Station erweitern die Möglichkeiten.

Ein Network Attached Storage (NAS) kann in Unternehmen eine flexible Rolle einnehmen: von Backup-Lösung über Virtualisierungsplattform zur Cloud-Schnittstelle. Zu den Basics für ein sicheres NAS gehören allen voran ein aktuelles Betriebssystem, Multifaktor-Authentifizierung (MFA), gültige TLS-Zertifikate sowie segmentierte Netze. Dazu kommen Firewall-Regeln sowie Backups und Snapshots, die getrennt vom Primärspeicher aufbewahrt werden. Wer das Maxi­mum aus seinem NAS herausholen möchte, hat zudem die Auswahl aus vielen praktischen Apps. Welche es gibt, erläutern wir am Beispiel des Herstellers Synology.

Sichere Speicherlösung

Daten im Network Attached Storage schützen – das braucht's dazu

Transparenz im NAS

Als zentrale Instanz für die Betriebsüberwachung, Forensik und Compliance gibt es das Sy­no­logy Protokoll‑Center. Es sammelt Ereignisse von DSM, Apps und auch von externen Systemen über Syslog, stellt Auswertungen bereit und verschickt Benachrichtigungen. Sinnvoll sind klare Aufbewahrungsfristen, fein granulierte Zugriffsrechte für Log‑Operatoren sowie eine ver­schlüs­sel­te Log‑Übertragung aus sensiblen Quellen.

Ergänzend hilft der Proxy Server, ausgehenden Traffic zu kontrollieren und zu protokollieren, etwa um Updates sicher zu beziehen oder Richtlinien durchzusetzen. Er sollte ausschließlich intern genutzt, nie als offenes Relais betrieben werden. Und auch die TLS Inspection sollte nur mit klarer Policy und sauberem Zertifikatsmanagement genutzt werden. Die Logs können dann in das Protokoll-Center oder ein zentrales SIEM fließen.

Synology Protokoll-Center

Zentrale Logfile-Analyse mit Synology NAS

Backups und Wiederherstellung: Hyper Backup und Active Backup

Einen besonders großen Mehrwert bringen die Backup- und Restore-Apps von Synology. Hyper Backup von Synology sichert Daten und App-Konfigurationen des NAS versionsbasiert auf externe Daten­träger, ein zweites NAS, per „rsync/SFTP“ oder in S3‑kompatible Clouds ein­schließlich Synology C2. Active Backup zentralisiert die Sicherung von physischen und virtuellen Windows- und Linux-Systemen sowie – je nach Modul – von Microsoft 365 und Google Workspace. Die beiden Ansätze ergänzen sich: Hyper Backup schützt Inhalte und Einstellungen des NAS selbst, währ­end Active Backup Ausfallzeiten bei Servern, Clients und VMs mit granularen und Bare­Metal­Wiederherstellungen minimiert. Für die Ausgestaltung empfiehlt sich die 3‑2‑1‑1‑0‑Regel: drei Kopien, zwei Medientypen, eine Offsite‑Kopie, eine unveränderbare Kopie, null ungeprüfte Restores. Wo möglich sollte Unveränderbarkeit genutzt werden, zum Beispiel mit S3 Object Lock oder C2 Immutability. Servicekonten sollten nur die minimal nötigen Rechte erhalten und Wiederherstellungen regelmäßig getestet werden. So­wohl Hyper Backup wie auch Active Backup sind Teil des DiskStation Managers (DSM), dem Betriebssystem von Synology.

Ransomware-sichere und kostenlose Backups erstellen

Backup mit Synology-NAS

Sicherer Zugriff auf das NAS

Für einen sicheren Zugriff auf das NAS können Unternehmen Apps für Identitäten, die Authentifizierung und den Netzwerkzugang kombinieren:

• Die MFA schützt Admin- und Benutzerkonten im DSM und sollte für den Fernzugriff verpflichtend aktiviert sein.

• Der VPN-Zugang sollte idealerweise am Perimeter (Firewall oder Router) terminiert sein. Wenn der VPN-Server auf dem NAS läuft, brauchen Unternehmen nur OpenVPN oder L2TP/IPsec zu aktivieren. Als Alternative zu einem VPN bietet Synology QuickConnect an.

• Der RADIUS‑Server stellt die zentrale Authentifizierung für WLAN (WPA2/3‑Enterprise) und Gerätezugänge bereit, bindet das NAS an das Active Directory (AD) oder Lightweight Di­rect­ory Access Protocol (LDAP) an und sollte vorzugsweise EAP‑TLS (Extensible Authentication Protocol) mit Gerätezertifikaten verwenden.

Benutzerkonten schützen

Synology-NAS-Systeme mit 2FA absichern

• Der OAuth Service ermöglicht Single Sign‑on für interne Web‑Anwendungen und sollte ausschließlich über TLS betrieben werden. Am besten stellen Admins kurze Token‑Lauf­zeiten, restriktive Redirect‑URIs, Minimalrechte für Servicekonten und eine aktive Protokollierung durch.

• Der Proxy Server kontrolliert ausgehende Verbindungen, erzwingt benutzer‑ und gruppenbasierte Richtlinien und protokolliert Zugriffe.

• Ergänzt werden kann das Zugriffskonzept durch IP‑Allowlists und die DSM‑Firewall auf Diensteebene sowie einem sauberen Zertifikats‑ und Schlüsselmanagement.

• Alle Anmelde‑ und Zugriffsereignisse sollten in das Protokoll‑Center weitergeleitet werden. Zudem sollten Alarme eingerichtet werden, die bei Anomalien warnen.

Mit OpenVPN-Client

VPN-Server mit dem Synology-NAS aufbauen

Virtualisierung und Videoüberwachung

Wer kleine Dienste konsolidieren will, für den eignet sich der Virtual Machine Manager. Damit können auch Testumgebungen bereitgestellt oder Workloads isoliert betrieben werden. Für Sicherheit und Stabilität sind getrennte vSwitches/VLANs, klare Ressourcenlimits, eigene Sto­rage‑Pools für VM‑I/O sowie regelmäßige VM‑Backups entscheidend. Eine leistungsfähige CPU, genügend RAM und schnelle Laufwerke/SSD‑Caches sind ebenfalls empfehlenswert.

Ein weiterer Tipp, um das NAS allumfänglich einzusetzen, ist die Surveillance Station von Synology, die das Management von IP-Kameras bündelt. Auch hierbei sind eine strikte Netz­werk­trennung der Kameras, abgesicherter Zugriff und regelmäßige Firmware Updates der Geräte.

Synology Surveillance Station

Überwachungszentrale auf dem NAS

Schrittweise von Synology-Apps

Für die Einführung der folgenden Synology‑Apps und Betriebsfunktionen kann ein schrittweises Vorgehen hilfreich sein:

• 1. Backups mit Hyper Backup etablieren und das Protokoll‑Center produktiv in Betrieb nehmen.

• 2. Active Backup für Server, Clients und VMs ausrollen und Wiederherstellungsprozesse regelmäßig üben.

• 3. Fernzugriff über ein VPN einrichten und falls benötigt RADIUS für WLAN‑ und Gerätezugriffe einsetzen.

• 4. Zugriffssteuerung mit klaren Proxy‑Regeln und einem zentralen OAuth‑Dienst einrichten.

• 5. Virtual Machine Manager und die Surveillance Station einführen, wenn Konsolidierungs‑ oder Videoanforderungen bestehen.

Damit der Betrieb des Synology‑NAS und der darauf eingesetzten Apps dauerhaft stabil bleibt, brauchen diese Apps klare Verantwortlichkeiten, Monitoring mit wirksamen Alarmwegen sowie eine fortlaufende Dokumentation. Dazu zählen definierte Rollen, geübte Notfall­wieder­her­stellungen, gepflegte Aufbewahrungs- und Löschkonzepte sowie nachvollziehbare Change-Logs. So entfalten Synology Apps ihren vollen Nutzen: Sie ergänzen einen soliden Grundschutz um Wiederherstellbarkeit, Transparenz und kontrollierten Zugriff und machen das Network Attached Storage zu einer verlässlichen Plattform für den täglichen Betrieb.

NAS als Domänencontroller

So binden Sie Ihr Synology-NAS an das Active Directory an

(ID:50638857)