Surveiller et défendre les données

16 min · 9 rubriques

Un NAS garde les fichiers de toute la maison — ou de tout le bureau — et il est allumé 24 h/24 sans que personne le regarde. Ce guide couvre les six pièces qui s’en occupent : les trois qui servent à récupérer ce qui s’abîme, et les trois qui servent à s’apercevoir que quelque chose ne va pas.

Versions précédentes

Rien à activer : il apparaît dans chaque dossier partagé dont le volume garde des instantanés.

Sous Windows, l’onglet « Versions précédentes » apparaît quand on fait un clic droit sur un fichier ou un dossier, et sur Mac la même chose depuis « Revenir à ». Dedans, il y a le fichier tel qu’il était dans chaque instantané du volume.

L’important, ce n’est pas l’onglet : c’est qui s’en sert. Sans lui, récupérer un fichier passe par prévenir la personne qui administre le NAS, qui va dans le panneau et le restaure. Avec lui, la personne qui vient d’écraser son propre document le récupère toute seule, depuis son dispositif, en dix secondes.

Il faut des instantanés. Ce qu’on voit dans cet onglet, c’est ce que le volume a gardé ; s’il n’y a pas d’instantanés planifiés, l’onglet est vide. Planifie-les dans Stockage → Instantanés (un par jour avec quinze en conservation, c’est un bon point de départ) et attends le premier.

Il est en lecture seule et montre ce qui a été gardé avec les droits de l’époque : chacun voit les versions des dossiers qu’il peut déjà ouvrir. La fiche de chaque dossier, dans Panneau de configuration → Dossiers de la maison, indique combien Windows en affichera et de quand date la plus récente, ou pourquoi il n’y en a aucune.

Si l’onglet est vide

Par ordre de probabilité :

1. Il n’y a pas encore d’instantanés de ce volume. C’est le cas normal le premier jour.
2. Le dossier est un dataset à part et les instantanés sont ceux du volume parent (ou l’inverse). Le panneau calcule tout seul le bon endroit pour chaque dossier, mais si tu as un dataset par dossier, les instantanés doivent être ceux de CE dataset.
3. Les instantanés ont été créés à la main avec un autre nom. Le panneau les nomme auto-AAAAMMDD-HHMMSS, et Windows a besoin de ce format exact pour pouvoir les trier par date. Ceux que tu as créés toi-même avec un autre nom n’y apparaîtront pas (ils sont toujours là et se restaurent depuis le panneau comme d’habitude).

Qui a touché à quoi

Panneau de configuration → Dossiers de la maison → (un dossier) → « Noter qui supprime et qui déplace ». Ça se lit dans Centre des journaux → « Qui a touché à quoi ».

Ça répond à la question qui n’avait pas de réponse : qui a supprimé le dossier ? Avec ça activé, le NAS note chaque suppression, chaque changement de nom et chaque nouveau dossier créé par SMB, avec l’utilisateur et le dispositif depuis lequel ça a été fait.

On ne note que ce qui détruit ou déplace. Noter aussi les lectures et les ouvertures remplirait le journal de milliers de lignes par minute — un Windows ouvre et ferme des fichiers sans arrêt — et l’information qui compte s’y perdrait.

Ce n’est enregistré dans aucun fichier à part : ça va dans le journal du système, qui tourne déjà tout seul et survit aux redémarrages.

Types de fichiers qu’un dossier refuse

Édition Entreprise. Dans la fiche de chaque dossier de la maison (Modifier), tu peux lui dire ce qu’il ne doit pas accepter :

• Programmes Windows : .exe, .bat, .msi, .ps1, .vbs et similaires. Pour les dossiers de documents, où personne n’a de raison de ranger un programme.
• Traces de rançongiciel : les extensions laissées par les programmes qui chiffrent les fichiers pour exiger une rançon, et leurs notes de paiement. Si un dispositif du bureau est infecté, ce qui est chiffré ne revient pas dans le dossier.
• Autres, les tiens, séparés par des virgules. * remplace n’importe quoi : *.iso refuse toutes les images disque ; copie de *, tout ce qui commence ainsi.

Ce qui l’arrête et ce qui ne l’arrête pas :

• Le réseau Windows et Mac, WebDAV et ce qu’on envoie, copie ou renomme depuis Fichiers l’arrêtent ; Fichiers indique que le dossier n’accepte pas ce type de fichier ; Windows et le Mac affichent une erreur « introuvable » et ne l’enregistrent pas.
• NFS et SFTP ne savent pas refuser par nom : ce qui entre par là entre.
• Par WebDAV, on peut renommer en l’un de ces types un fichier déjà présent.
• Ce qui s’y trouvait déjà n’est pas supprimé : il n’est plus visible sur le réseau Windows et Mac, et reste dans Fichiers, où tu peux le déplacer ou le supprimer.

Antivirus

Panneau de configuration → Sécurité → Antivirus.

D’abord la question raisonnable : à quoi sert un antivirus sur un NAS sous Linux ? Ce n’est pas pour se protéger lui-même — Linux n’exécute pas un .exe — mais pour ne pas être le livreur. Les fichiers des dossiers de la maison sont ouverts par les portables de la maison, et là, ils s’exécutent. Un cheval de Troie dans « Documents » peut passer des mois à voyager d’un dispositif à l’autre, et le NAS est le seul endroit d’où l’on peut tout voir d’un coup.

• Il analyse les dossiers que tu choisis, à la main ou une fois par semaine.
• Et, entre deux analyses, il surveille ce qui arrive : toutes les quelques minutes, il regarde uniquement les nouveaux fichiers. C’est la différence entre l’apprendre en dix minutes ou en six jours — le temps qu’il faut pour que revienne l’analyse complète, avec le fichier dans le dossier de la maison et à portée de tous les dispositifs de la maison pendant ce temps. Ça coûte quelques secondes, parce que ce sont les fichiers des dernières minutes, pas deux téras.
• Il utilise les signatures de ClamAV, qui se mettent à jour toutes seules — et **il te dit leur âge**. Un antivirus avec des signatures d’il y a six mois donne la même impression de sécurité qu’un antivirus à jour et ne reconnaît rien de cette année ; si le service qui les télécharge cesse de fonctionner, c’est affiché à l’écran et dans le rapport hebdomadaire.
• Par défaut, il se contente de prévenir. Déplacer le fichier de quelqu’un sans demander, avec les faux positifs qu’a n’importe quel antivirus, fait plus peur que l’alerte. Si tu préfères la quarantaine, le fichier sort du dossier de la maison et reste dans <volume>/.cuarentena, où plus personne ne l’ouvre.
• La quarantaine se consulte et s’annule. Ce qui a été mis de côté s’affiche à l’écran avec sa taille et sa date, et de là, on le remet dans un dossier ou on le **supprime définitivement**. Les faux positifs existent — un vieil installateur, une macro du travail —, et un fichier que l’antivirus emporte sans qu’on puisse le récupérer est un fichier perdu.
• S’il trouve un programme de chiffrement, il ne s’arrête pas à une alerte : il déclenche la même réponse que le piège (instantané immédiat, frein des sauvegardes et ce que tu as configuré). Prévenir et attendre que quelqu’un lise l’alerte, c’est justement ce qu’on ne peut pas faire avec un rançongiciel à l’intérieur.
• Il ne dévore pas le NAS : il tourne avec la priorité la plus basse pour le processeur et le disque, et avec une limite de mémoire, donc les dossiers continuent d’être servis normalement pendant l’analyse.
• Il prévient à la fin s’il trouve quelque chose, ce qui est la seule chose qui compte : quand l’analyse de trois heures du matin se termine, personne ne regarde le panneau.

Une analyse complète d’un volume avec beaucoup de fichiers, ce sont des heures. C’est normal, et il n’y a volontairement aucune limite de temps.

Analyser à l’écriture

Édition Entreprise. Pour les dossiers par où entre ce qui vient de l’extérieur —téléchargements, numérisations, ce qu’envoient les clients—, chaque fichier peut être analysé dès qu’il a fini d’être enregistré, sans attendre la surveillance.

1. Dans « Analyser à l’écriture », appuie sur Installer. Il télécharge environ 300 Mo avec les signatures et prend quelques minutes ; tu peux continuer à utiliser le panneau.
2. Choisis les dossiers et active-le. Il n’est considéré comme actif qu’une fois qu’il les surveille, et charger les signatures prend quelques minutes.

• Il lui faut environ 2 Go de mémoire libre pour les signatures. S’il n’y en a pas assez, il ne s’active pas et te dit combien il y en a.
• Il utilise au plus la moitié d’un cœur du processeur : le NAS sert à la même vitesse et ce qui est écrit met quelques secondes de plus à être analysé.
• Il ne bloque pas l’enregistrement : le fichier est enregistré puis analysé juste après. Ce qu’il trouve suit « S’il trouve quelque chose » : avec « Mettre en quarantaine », c’est mis de côté en moins d’une minute ; avec « Prévenir sans rien toucher », ça reste en place et apparaît dans « Fichiers détectés » pour que tu décides. Dans les deux cas tu es prévenu, et un rançongiciel reçoit la même réponse que le piège.
• Avec une licence domestique, il se désactive tout seul.

Piège anti-rançongiciel

Panneau de configuration → Sécurité → Rapport et piège.

Les instantanés verrouillés sont la meilleure défense qui existe, mais ils servent à récupérer. Ceci sert à s’en apercevoir à temps : un chiffrement commence par un dossier et met des heures à parcourir tout un NAS, et pendant ce temps, personne ne regarde.

Comment ça marche : le NAS dépose dans les dossiers de la maison des fichiers appâts que personne n’a de raison de toucher, et il vérifie leur empreinte chaque minute. Un programme qui chiffre ne choisit pas : il chiffre tout ce qu’il trouve, et ces fichiers sont sur son chemin. Quand ils changent ou disparaissent, ce qu’il y a de l’autre côté n’est pas une personne.

Combien d’appâts (et pourquoi ça compte autant) : presque toutes les familles de rançongiciels travaillent avec une liste d’extensions — documents, tableurs, photos, PDF — et un .txt isolé n’y figure jamais. Un appât en texte, ils le sautent sans y toucher, et le piège ne se déclenche jamais.

Et il y a un deuxième filet : même si aucun appât n’est touché, le NAS regarde s’il apparaît d’un coup des fichiers avec une extension de chiffrement (.locked, .encrypted…) ou des notes de rançon (HOW_TO_DECRYPT, README_RESTORE…). Il en faut trois fraîchement apparus pour donner l’alarme : un seul, ça peut être n’importe quoi.

Ce qui se passe alors, dans cet ordre (les deux premières mesures sont activées par défaut parce qu’elles n’enlèvent rien à personne) :

1. Instantané immédiat des volumes touchés. C’est la mesure qui sauve le plus de données : elle fige l’état à la minute de la détection, quand presque tout est encore non chiffré.
2. Frein des sauvegardes et des réplications. Une sauvegarde qui tourne après le chiffrement emporte les fichiers chiffrés vers la destination et écrase la dernière bonne sauvegarde : c’est la façon de tout perdre en ayant des sauvegardes qui fonctionnent. Elles ne tournent plus tant que tu n’as pas réarmé le piège.
3. Fermer les dossiers de la maison, si tu l’as demandé. C’est radical — ça laisse toute la maison sans fichiers d’un coup — et c’est ce qui freine vraiment un chiffrement en cours : chaque minute où ça reste ouvert, ce sont des gigas de plus. On coupe uniquement le SMB : le panneau, les sauvegardes et le reste restent debout pour pouvoir regarder ce qui s’est passé et récupérer.
4. Bloquer dans le pare-feu pendant 24 heures ceux qui avaient des dossiers ouverts, si tu l’as demandé. Ça coupe net le dispositif infecté ; s’il y en a plusieurs connectés, il les bloque tous, et c’est pour ça que c’est désactivé par défaut.
5. Alerte critique par tous les canaux que tu as configurés, avec le rapport : ce qui s’est déclenché, ce qui a été fait, qui avait des dossiers ouverts à ce moment-là et les derniers fichiers touchés. C’est par là qu’on commence à chercher.

Deux choses qu’il fait bien et qu’il vaut mieux savoir :

• Un fichier qu’on ne peut pas lire (un disque qui ne répond pas, des droits d’accès bizarres) ne compte pas comme une attaque. Ce serait la façon la plus simple qu’un disque avec un problème prive toute la maison de ses fichiers.
• L’alarme ne se répète pas chaque minute. Celui qui l’a vue est déjà en train de regarder.

Si le piège se déclenche

1. N’éteins pas le NAS. Les instantanés sont ce qui va te sauver, et ils sont là.
2. Regarde dans le panneau quel fichier a déclenché le piège et quand : ça te dit par quel dossier ça a commencé.
3. Débranche du réseau les dispositifs suspects (ou coupe le wifi). Le chiffrement vient de l’un d’eux, pas du NAS.
4. Regarde les instantanés de ce dossier pour voir depuis quand ça se produit, et restaure à partir d’un instantané antérieur à cette heure (reprise après sinistre).
5. Quand tu es sûr de toi, réarme le piège et rouvre le SMB depuis Services de fichiers.

Alerte de connexion depuis un nouvel endroit

Quand quelqu’un se connecte au panneau avec ton compte depuis une adresse que ce compte n’avait jamais utilisée, tu reçois une alerte avec le navigateur et le système depuis lesquels il s’est connecté. Le réseau de la maison et le VPN ne déclenchent jamais d’alerte, et depuis l’extérieur c’est le réseau qui compte, pas l’adresse exacte, parce que les opérateurs la changent tous les jours. Si l’alerte ne vient pas de toi : change le mot de passe et ferme toutes les sessions depuis Ton compte.

Je suis absent

Panneau de configuration → Alertes.

Un interrupteur pour les jours où la maison est vide. Quand la maison est vide, ce qui est normal n’importe quel autre jour ne l’est plus : tant qu’il est activé, le NAS te dit qui entre.

• Il prévient de toute connexion au panneau, y compris depuis le réseau de la maison. Normalement, interrupteur désactivé, il ne prévient que pour un nouvel endroit.
• Il prévient de chaque dispositif qui se connecte aux dossiers de la maison.
• Toutes les caméras qui enregistrent préviennent si elles voient du mouvement, avec une photo, même si l’alerte n’est pas activée dans leur fiche. Quand tu désactives l’interrupteur, chaque caméra revient à ses propres réglages.
• Au maximum une alerte par jour par compte et par adresse, pour qu’une semaine d’absence ne finisse pas en vingt alertes que plus personne ne lit.

Quand tu le désactives, tout redevient exactement comme avant. Le panneau montre depuis quand il est activé et qui l’a activé.

Blocage par pays

Panneau de configuration → Sécurité → Blocage par pays.

Un NAS publié sur internet reçoit, sans exception, des milliers de tentatives par jour depuis l’autre bout du monde. Le blocage automatique des IP réagit après les premières tentatives ; ceci, c’est l’inverse : si les tiens se connectent depuis la France, ce qui vient de l’extérieur de la France n’arrive même pas à la porte.

• C’est une liste de pays autorisés, pas de pays bloqués. Bloquer les dix pays d’où viennent le plus d’attaques laisse ouverts les cent quatre-vingts autres, et l’attaquant le sait.
• Depuis ton propre réseau, on entre toujours, quoi que tu choisisses. C’est la barrière qui empêche l’accident qui compte vraiment : t’enfermer dehors de ton NAS depuis ton propre salon.
• Les plages d’adresses de chaque pays se téléchargent toutes seules et se rafraîchissent une fois par semaine. Les attributions d’adresses bougent lentement, mais elles bougent : sans rafraîchissement, au fil des mois, des gens de ton propre pays commenceraient à rester dehors.
• Si une liste ne peut pas être téléchargée, rien n’est filtré plutôt que de tout filtrer.

Attention si tu voyages. Avec la France cochée, ton propre téléphone depuis l’étranger n’entre pas non plus. Si tu voyages souvent, coche aussi ces pays ou connecte-toi avec Tailscale ou NetBird : ce qui arrive par eux ne passe pas par ce filtre.

Rapport hebdomadaire

Panneau de configuration → Sécurité → Rapport et piège.

C’est le contraire d’une alarme : un petit bilan de l’état du NAS quand il ne se passe rien, par les mêmes canaux que les autres alertes.

Il commence par le verdict — une note de 0 à 100 et une ligne — et se termine par ce qu’il faut faire, une courte liste triée par urgence. Entre les deux : volumes, disques, sauvegardes, instantanés, sécurité (piège, antivirus, blocages), caméras et mises à jour.

Et il compare avec la semaine dernière, ce qui transforme un chiffre en décision : « il reste 400 Go », ça peut vouloir dire deux ans ou trois semaines. Le rapport dit « 400 Go libres, 60 de moins qu’il y a 7 jours · à ce rythme, plein dans 46 jours », et avec ça on sait déjà s’il faut acheter un disque maintenant ou ne plus y penser avant Noël.

Il existe pour que quelqu’un s’aperçoive que les sauvegardes ne tournent plus depuis un mois, ou qu’il ne reste plus que 6 % à un volume, avant que ça devienne une urgence.

Deux détails pensés exprès :

• On peut le lire avant de l’activer : l’écran montre le rapport qui serait envoyé à l’instant même. Un e-mail périodique dont on ne sait pas à quoi il va ressembler finit à la corbeille.
• Si le NAS était éteint à l’heure prévue, il est envoyé dès qu’il revient. Avec l’arrêt programmé, c’est la situation normale.