NAS bị ransomware: bài học từ C3RB3R và cách tách vai trò lưu trữ với Unified Storage

1. Chuyện gì đang xảy ra: C3RB3R và NAS chưa cập nhật

Ngày 29/10/2026, Synology kêu gọi người dùng cập nhật DSM sau các vụ tấn công ransomware nhắm vào thiết bị chạy DSM lỗi thời. Theo Synology, kẻ tấn công khai thác một lỗ hổng đã vá từ tháng 12/2024 (bản tin Synology-SA-24:20); hãng khuyến nghị cập nhật ngay và bật cập nhật tự động.

Cùng ngày, công ty bảo mật 360 cảnh báo về chủng C3RB3R, biến thể của họ Cerber: tệp bị mã hóa có đuôi .L0CK3D (chữ số 0), mỗi thư mục có ghi chú read-me3.txt. Theo 360, điểm xâm nhập là CVE-2026-13639 và CVE-2026-13684 (CVSS 9.8, không cần xác thực), đã được vá ngày 18/09/2026 trong bản tin Synology-SA-26:13, với các bản DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 và 7.2.1-69057-12 trở lên.

Hai thông tin không loại trừ nhau: theo cả Synology và 360, các thiết bị bị tấn công là thiết bị chưa cập nhật bản vá hãng đã phát hành. Một số đội ứng cứu sự cố vẫn đang xác định điểm xâm nhập ở vài trường hợp, nên chi tiết kỹ thuật có thể còn thay đổi.

2. Vì sao NAS bị ransomware mã hóa hàng loạt

Bài học từ sự kiện này rộng hơn một dòng sản phẩm. NAS được thiết kế để chia sẻ file thuận tiện, nên thường có ba đặc điểm làm bề mặt tấn công lớn hơn hệ thống lưu trữ chỉ phục vụ máy chủ:

• Nằm chung mạng LAN với máy trạm. Khi một máy trạm bị chiếm quyền, mã độc có sẵn đường tới NAS.
• Share được mount như ổ mạng. Ransomware chạy với quyền của người dùng sẽ ghi đè file trên SMB/NFS share như thao tác hợp lệ.
• Nhiều dịch vụ trên cùng một thiết bị. Quản trị web, ứng dụng, truy cập từ xa. Dịch vụ phơi ra Internet mà chưa vá cho phép kẻ tấn công giành quyền ngay trên NAS, như sự kiện lần này.

Khi kẻ tấn công có quyền quản trị trên chính hệ thống lưu trữ, snapshot và backup nằm trên cùng thiết bị (hoặc ổ USB gắn vào) cũng có thể bị xóa. Cần một bản sao mà quyền quản trị của hệ thống nguồn không chạm tới.

3. SAN và NAS khác nhau ở đâu trước ransomware

SAN cung cấp block storage (LUN) cho máy chủ qua mạng lưu trữ riêng: Fibre Channel với SAN switch, hoặc iSCSI trên VLAN/mạng tách khỏi LAN người dùng. Máy trạm không có đường tới cổng dữ liệu của storage nên không thể duyệt hay mount LUN; cổng quản trị thường ở mạng riêng. Vì vậy bề mặt tấn công nhỏ hơn đáng kể so với NAS nằm giữa LAN.

Tuy nhiên SAN không miễn nhiễm: nếu máy chủ ảo hóa hay cơ sở dữ liệu bị chiếm quyền, ransomware trên máy chủ vẫn mã hóa được LUN đang gắn. Vì vậy SAN giúp thu hẹp đường tấn công, còn khả năng khôi phục vẫn phụ thuộc vào snapshot và bản backup bất biến nằm ở nơi khác.

4. Object Storage và S3 Object Lock: đích backup bất biến

Object storage không được mount như ổ mạng: ứng dụng đọc ghi qua API S3 bằng khóa truy cập và chính sách theo bucket, nên mã độc duyệt ổ đĩa không thấy bucket để ghi đè. Đây là yếu tố giảm rủi ro, không phải bảo đảm: nếu khóa truy cập bị lộ, kẻ tấn công vẫn gọi được API.

Lớp bảo vệ quyết định là S3 Object Lock. Theo tài liệu AWS, Object Lock lưu object theo mô hình WORM, yêu cầu bucket bật Versioning và áp dụng cho từng phiên bản object với thời hạn lưu giữ (retain-until-date) hoặc legal hold:

• Governance mode: không xóa hay ghi đè được, trừ tài khoản có quyền đặc biệt s3:BypassGovernanceRetention.
• Compliance mode: không ai xóa hay ghi đè được phiên bản đã khóa trước hạn, kể cả tài khoản root; không thể đổi mode hay rút ngắn thời hạn.
• Yêu cầu DELETE có chỉ định version bị từ chối (403); DELETE không chỉ định version chỉ tạo delete marker, phiên bản gốc vẫn còn để khôi phục.

Nhiều NAS hiện có snapshot bất biến hoặc WORM, nhưng thường ở mức share/thư mục, phụ thuộc cấu hình và nằm trong tầm quyền quản trị của chính thiết bị. Object Lock là cơ chế chuẩn ở mức API cho từng phiên bản object, được nhiều phần mềm backup hỗ trợ, nên phù hợp làm đích backup bất biến. Với object storage tại chỗ, mức bảo đảm của Compliance mode phụ thuộc cách hãng triển khai và cần kiểm tra khi thử nghiệm. Vai trò rộng hơn của object storage trong hạ tầng dữ liệu được phân tích tại bài object storage cho AI.

5. So sánh NAS, SAN và Object Storage theo góc nhìn lưu trữ chống ransomware

Không có kiến trúc phù hợp mọi tải. Bảng dưới so sánh ba mô hình ở góc độ bảo vệ dữ liệu.

Dùng NAS cho chia sẻ file vẫn hợp lý, miễn là bản backup nằm ở một đích bất biến tách quyền quản trị. Anh/Chị có thể đọc thêm phân tích theo tải tại bài chọn object, file hay block storage.

6. Infortrend EonStor GS: Unified Storage cho cả block, file và object

Nhiều doanh nghiệp cần cả ba vai trò nhưng không muốn vận hành ba hệ thống. Infortrend EonStor GS là dòng Unified Storage, theo Infortrend, hỗ trợ SAN, NAS và object storage trên cùng một hệ thống. Theo datasheet EonStor GS do Infortrend công bố:

Các tính năng bảo vệ dữ liệu theo Infortrend công bố:

• WORM và immutable object storage (bổ sung từ 2022): đặt thời hạn lưu giữ để bảo vệ dữ liệu khỏi bị sửa, xóa hay mã hóa.
• MFA cho đăng nhập quản trị, mật khẩu một lần qua ứng dụng hoặc email.
• Snapshot mức block và file, nhân bản từ xa sang GS khác hoặc public cloud.
• Veeam Backup & Replication v12 trên GS G3, dùng object tương thích S3 làm kho backup bất biến.

Tài liệu Infortrend không nêu chi tiết Governance/Compliance mode; CSC khuyến nghị kiểm chứng hành vi khóa (thử xóa, rút ngắn thời hạn bằng tài khoản quản trị) trong PoC.

Giá trị ở đây là tách vai trò trên cùng một nền tảng: máy chủ dùng block qua SAN riêng, người dùng chỉ thấy share cần thiết, backup nằm trong bucket S3 có khóa thời hạn và nhân bản off-site, mà không phải đầu tư ba hệ thống rời. Xem thêm bài Infortrend: từ Enterprise Storage đến hạ tầng dữ liệu cho AI.

7. Lộ trình 5 bước CSC đề xuất

1. Đánh giá hiện trạng: liệt kê NAS, share, dịch vụ phơi Internet, firmware, nơi đặt backup, quyền quản trị.
2. Tách mạng: cổng quản trị vào mạng riêng có MFA; máy chủ truy cập dữ liệu qua FC hoặc iSCSI tách khỏi LAN.
3. Chuyển tải đúng chỗ: VM, CSDL dùng block; file share chỉ cho dữ liệu cần cộng tác.
4. Dựng đích backup bất biến: bucket S3 có Object Lock, theo nguyên tắc 3-2-1-1-0 (ba bản, hai loại phương tiện, một off-site, một bất biến hoặc ngoại tuyến, không lỗi khi kiểm tra).
5. Diễn tập khôi phục: định kỳ khôi phục thử, đo RTO/RPO thực tế.