NAS パラメータシート（QNAP / Synology ほか）

小規模拠点とバックアップ用途で実際に使われる機種です。★ベンダー非依存で書いています。NetApp ONTAP・ブロックストレージのシートはデータセンターに置く業務用の共有ストレージですが、こちらは拠点に置く小さい箱で、管理画面がWebで、機能を後から追加できて、★インターネットへ出す仕組みが用意されているという点がまったく違います。踏む失敗も別物です。★記入例はバックアップソフトのシートに繋げてあり、あちらの repo-secondary（大阪支店）がこの機種にあたります。★核は3枚です。（1）外部アクセスと公開範囲 … ★この機種で最大の事故要因です。インターネットから使う仕組みが用意されていて、導入時に有効化を促されます。さらに★機器が自分でファイアウォールに穴を開ける仕組みがあり、「開けた覚えがないのに外から届く」が起きます。被害が出るのはたいていここです。（2）共有と権限設計 … ★誰でも読める設定や全員向けの権限が既定で付いていることがあります。そして★書ける範囲を絞らないと、端末が暗号化されたときに書ける範囲が全部やられます。（3）バックアップ保存先としての設計 … ★「別の場所にある」だけでは保護になりません。本社と同じ認証で入れるなら、本社をやられた時点で一緒にやられます。

★社内だけで使うなら、インターネットから使う機能を全部切ってください。使うなら理由を書いてください。★機器が自分でファイアウォールに穴を開ける仕組みを無効にし、ルータ側で開いているポートも確認してください。★設定画面を見るだけでなく、社外の回線から実際に接続して届かないことを確認してください。設定と実態が違うことがあります。★管理画面を外に出さないでください。例外を作らないでください。★既定の管理者アカウントは無効にするか名前を変えてください。★共有は「作ったもの」だけでなく一覧を出して全部確認してください。既定で用意されている共有や、誰でも読める設定を見落とします。★書ける範囲を用途ごとに最小にしてください。読めるだけの利用者を増やし、書ける人を減らすのが最も効きます。★バックアップ用の共有は、バックアップサーバー以外から書けなくしてください。★バックアップ保存先として使うなら、本社と認証を分けてください。本社のADと連携させると、ADをやられた時点で複製先も一緒にやられます。★スナップショットと消せない期間の設定を検討してください。★複製の成否を監視してください。止まっても誰も気づかない期間ができます。★ディスクを1本抜く試験で、検知と通知までを確認してください。★更新を止めないでください。小規模拠点に置いた機器ほど放置されます。パスワード・接続情報は書かず「別紙参照」としてください。