Sorvegliare e difendere i dati

14 min · 9 sezioni

Un NAS conserva i file di tutta la casa —o di tutto l'ufficio— ed è acceso 24 ore su 24 senza che nessuno lo guardi. Questa guida copre i sei pezzi che se ne occupano: i tre che servono a recuperare ciò che si rovina, e i tre che servono a accorgersi che qualcosa non va.

Versioni precedenti

Niente da accendere: compare in ogni cartella condivisa il cui volume conserva istantanee.

Su Windows compare la scheda «Versioni precedenti» facendo clic destro su un file o su una cartella, e sul Mac la stessa cosa da «Ripristina a». Dentro c'è il file così com'era in ogni istantanea del volume.

L'importante non è la scheda: è chi la usa. Senza, recuperare un file passa dall'avvisare chi amministra il NAS, che entra nel pannello e lo ripristina. Con lei, la persona che ha appena sovrascritto il proprio documento lo recupera da sola, dal suo dispositivo, in dieci secondi.

Servono le istantanee. Ciò che si vede in quella scheda è ciò che il volume ha conservato; se non ci sono istantanee pianificate, la scheda compare vuota. Pianificale in Archiviazione → Istantanee (una al giorno con quindici di conservazione è un buon punto di partenza) e aspetta la prima.

È in sola lettura e mostra ciò che è stato conservato con i permessi di allora: ognuno vede le versioni delle cartelle in cui può già entrare. La scheda di ogni cartella, in Pannello di controllo → Cartelle della casa, dice quante ne mostrerà Windows e di quando è la più recente, o perché non ce n'è nessuna.

Se la scheda compare vuota

In ordine di probabilità:

1. Non ci sono ancora istantanee di quel volume. È il caso normale il primo giorno.
2. La cartella è un dataset proprio e le istantanee sono del volume padre (o viceversa). Il pannello calcola da solo il posto giusto per ogni cartella, ma se hai un dataset per cartella, le istantanee devono essere di QUEL dataset.
3. Le istantanee sono state create a mano con un altro nome. Il pannello le chiama auto-AAAAMMGG-HHMMSS, e Windows ha bisogno di quello schema esatto per poterle ordinare per data. Quelle che hai creato tu con un altro nome non compariranno lì (restano comunque e si ripristinano dal pannello come sempre).

Chi ha toccato cosa

Pannello di controllo → Cartelle della casa → (una cartella) → «Annota chi elimina e chi sposta». Si legge in Centro registri → «Chi ha toccato cosa».

Risponde alla domanda che non aveva risposta: chi ha eliminato la cartella?. Con questo acceso, il NAS annota ogni eliminazione, ogni rinomina e ogni cartella nuova fatta via SMB, con l'utente e il dispositivo da cui è stata fatta.

Si annota solo ciò che distrugge o sposta. Annotare anche le letture e le aperture riempirebbe il registro di migliaia di righe al minuto —un Windows apre e chiude file di continuo— e il dato che conta si perderebbe dentro.

Non si salva in nessun file a parte: va nel diario di sistema, che ruota già da solo e sopravvive ai riavvii.

Tipi di file che una cartella rifiuta

Edizione Business. Nella scheda di ogni cartella della casa (Modifica) puoi dirle cosa non deve accettare:

• Programmi Windows: .exe, .bat, .msi, .ps1, .vbs e simili. Per le cartelle di documenti, dove nessuno ha motivo di tenere un programma.
• Tracce di ransomware: le estensioni lasciate dai programmi che cifrano i file per chiedere un riscatto, e le loro note di pagamento. Se un dispositivo dell’ufficio si infetta, ciò che è cifrato non rientra nella cartella.
• Altri, i tuoi, separati da virgole. * sta per qualsiasi cosa: *.iso rifiuta tutte le immagini disco; copia di *, tutto ciò che comincia così.

Cosa lo ferma e cosa no:

• Lo fermano la rete di Windows e del Mac, WebDAV e ciò che si carica, si copia o si rinomina da File, che avvisa che la cartella non accetta quel tipo di file; Windows e il Mac danno un errore «non trovato» e non lo salvano.
• NFS e SFTP non sanno rifiutare per nome: ciò che entra da lì, entra.
• Via WebDAV si può rinominare in uno di questi tipi un file che era già dentro.
• Ciò che c’era già non viene cancellato: non si vede più sulla rete di Windows e del Mac, e resta in File, dove puoi spostarlo o cancellarlo.

Antivirus

Pannello di controllo → Sicurezza → Antivirus.

Prima la domanda ragionevole: a cosa serve un antivirus a un NAS con Linux? Non serve a proteggere se stesso —Linux non esegue un .exe— ma a non essere il fattorino. I file delle cartelle della casa li aprono i portatili di casa, ed è lì che si eseguono. Un trojan in «Documenti» può passare mesi a viaggiare da un dispositivo all'altro, e il NAS è l'unico posto da cui si può vedere tutto in una volta.

• Analizza le cartelle che scegli, a mano o una volta alla settimana.
• E, tra un'analisi e l'altra, sorveglia ciò che arriva: ogni pochi minuti guarda **solo i file nuovi**. È la differenza tra accorgersene in dieci minuti o in sei giorni — che è quanto ci vuole perché tocchi di nuovo all'analisi completa, con il file nella cartella della casa e a portata di tutti i dispositivi di casa nel frattempo. Costa pochi secondi perché sono i file degli ultimi minuti, non due tera.
• Usa le firme di ClamAV, che si aggiornano da sole — e ti dice quanto sono vecchie. Un antivirus con le firme di sei mesi fa dà la stessa sensazione di sicurezza di uno aggiornato e non riconosce nulla di quest'anno; se il servizio che le scarica smette di funzionare, viene detto sullo schermo e nel rapporto settimanale.
• Di fabbrica avvisa soltanto. Spostare il file di qualcuno senza chiedere, con i falsi positivi che ha qualsiasi antivirus, spaventa più dell'avviso. Se preferisci la quarantena, il file esce dalla cartella della casa e resta in <volume>/.cuarentena, dove non lo apre più nessuno.
• La quarantena si può guardare e annullare. Ciò che è stato messo da parte compare sullo schermo con la sua dimensione e la sua data, e da lì si rimette in una cartella o si elimina per sempre. I falsi positivi esistono —un vecchio programma di installazione, una macro di lavoro—, e un file che l'antivirus si porta via e non si può recuperare è un file perso.
• Se ciò che trova è un cifratore, non si ferma a un avviso: fa scattare la stessa risposta della trappola (istantanea immediata, freno dei backup e ciò che hai configurato). Avvisare e aspettare che qualcuno lo legga è ciò che non si può fare con un ransomware dentro.
• Non si mangia il NAS: gira con la priorità più bassa di processore e di disco e con un limite di memoria, quindi le cartelle continuano a essere servite allo stesso modo mentre analizza.
• Avvisa quando finisce se trova qualcosa, che è l'unica cosa che conta: quando l'analisi delle tre di notte finisce, non c'è nessuno a guardare il pannello.

Un'analisi completa di un volume con molti file richiede ore. È normale e non c'è un limite di tempo, di proposito.

Analizza in scrittura

Edizione Business. Per le cartelle da cui entra ciò che viene da fuori —download, scansioni, ciò che mandano i clienti— ogni file si può analizzare appena finisce di salvarsi, senza aspettare la sorveglianza.

1. In «Analizza in scrittura», premi Installa. Scarica circa 300 MB con le firme e ci vuole qualche minuto; puoi continuare a usare il pannello.
2. Scegli le cartelle e accendilo. Non risulta acceso finché non inizia a sorvegliarle, e caricare le firme richiede un paio di minuti.

• Servono circa 2 GB di memoria libera per le firme. Se non ci sono, non si accende e ti dice quanta ce n’è.
• Usa al massimo metà di un core del processore: il NAS serve alla stessa velocità e ciò che si scrive richiede qualche secondo in più per essere analizzato.
• Non blocca il salvataggio: il file si salva e viene analizzato subito dopo. Ciò che trova segue «Se trova qualcosa»: con «Sposta in quarantena» viene messo da parte in meno di un minuto; con «Avvisa e non toccare nulla» resta dov’è e compare in «File rilevati» perché tu decida. In entrambi i casi ti arriva un avviso, e a un ransomware si risponde come con la trappola.
• Con una licenza domestica si spegne da solo.

Trappola per ransomware

Pannello di controllo → Sicurezza → Rapporto e trappola.

Le istantanee con lucchetto sono la migliore difesa che esista, ma servono a recuperare. Questo serve ad accorgersene in tempo: una cifratura comincia da una cartella e impiega ore a percorrere un NAS intero, e in quel lasso di tempo non la guarda nessuno.

Come funziona: il NAS lascia nelle cartelle della casa dei file esca che nessuno ha motivo di toccare e ne controlla l'impronta ogni minuto. Un programma che cifra non sceglie: cifra tutto ciò che trova, e quei file sono sulla sua strada. Quando cambiano o spariscono, ciò che c'è dall'altra parte non è una persona.

Quante esche (e perché conta così tanto): quasi tutte le famiglie di ransomware lavorano con un elenco di estensioni —documenti, fogli di calcolo, foto, PDF— e un .txt isolato non è in nessuno. Un'esca di testo la saltano senza toccarla, e la trappola non scatta mai.

E c'è una seconda rete: anche se non tocca nessuna esca, il NAS guarda se compaiono di colpo file con un'estensione di cifratura (.locked, .encrypted…) o note di riscatto (HOW_TO_DECRYPT, README_RESTORE…). Ne servono tre appena comparsi per dare l'allarme: uno isolato può essere qualsiasi cosa.

Cosa succede allora, in quest'ordine (le prime due sono accese di fabbrica perché non tolgono nulla a nessuno):

1. Istantanea immediata dei volumi coinvolti. È la misura che salva più dati: congela lo stato al minuto del rilevamento, quando resta ancora quasi tutto non cifrato.
2. Freno di backup e repliche. Un backup che gira dopo la cifratura porta i file cifrati nella destinazione e sovrascrive l'ultimo backup buono: è il modo di perdere tutto *avendo backup che funzionano*. Non girano di nuovo finché non riarmi la trappola.
3. Chiudere le cartelle della casa, se lo hai chiesto. È drastico —lascia tutta la casa senza file di colpo— ed è ciò che frena davvero una cifratura in corso: ogni minuto in cui resta aperto sono giga in più. Si spegne solo SMB: il pannello, i backup e il resto restano in piedi per poter guardare cosa è successo e recuperare.
4. Bloccare nel firewall per 24 ore chi aveva cartelle aperte, se lo hai chiesto. Taglia alla radice il dispositivo infetto; se ce ne sono diversi connessi, li blocca tutti, ed è per questo che è spento.
5. Avviso critico su tutti i canali che hai impostato, con il resoconto: cosa è scattato, cosa è stato fatto, chi aveva cartelle aperte in quel momento e gli **ultimi file toccati**. È da lì che si comincia a guardare.

Due cose che fa bene ed è bene sapere:

• Un file che non si può leggere (un disco che non risponde, permessi strani) **non conta come attacco**. Sarebbe il modo più facile perché un disco con un problema lasciasse senza file tutta la casa.
• L'allarme non si ripete ogni minuto. Chi l'ha visto sta già guardando.

Se la trappola scatta

1. Non spegnere il NAS. Le istantanee sono ciò che ti salverà e sono lì.
2. Guarda nel pannello quale file è scattato e quando: ti dice da quale cartella è cominciato.
3. Scollega dalla rete i dispositivi sospetti (o spegni il wifi). La cifratura viene da uno di loro, non dal NAS.
4. Guarda le istantanee di quella cartella per vedere da quando succede, e ripristina da una precedente a quell'ora (ripristino di emergenza).
5. Quando sei sicuro, riarma la trappola e riapri SMB da Servizi file.

Avviso di accesso da un posto nuovo

Quando qualcuno entra nel pannello con il tuo account da un indirizzo che quell'account non aveva usato, ti arriva un avviso con il browser e il sistema da cui è entrato. La rete di casa e la VPN non avvisano mai, e da fuori conta la rete e non l'indirizzo esatto, perché gli operatori lo cambiano ogni giorno. Se l'avviso non eri tu: cambia la password e chiudi tutte le sessioni da Il tuo account.

Sono fuori casa

Pannello di controllo → Avvisi.

Un interruttore per i giorni in cui la casa è vuota. Con la casa vuota, ciò che qualsiasi altro giorno è normale smette di esserlo: finché è acceso, il NAS ti racconta chi entra.

• Avvisa di ogni accesso al pannello, anche dalla rete di casa. La cosa normale, con l'interruttore spento, è che avvisi solo di un posto nuovo.
• Avvisa di ogni dispositivo che si collega alle cartelle della casa.
• Tutte le telecamere che registrano avvisano se vedono un movimento, con una foto, anche se nella loro scheda non hanno l'avviso attivo. Spegnendo l'interruttore, ogni telecamera torna alle sue impostazioni.
• Al massimo un avviso al giorno per account e per indirizzo, perché una settimana fuori non finisca in venti avvisi che nessuno legge più.

Spegnendolo, tutto torna esattamente com'era. Nel pannello si vede da quando è acceso e chi l'ha acceso.

Blocco per paese

Pannello di controllo → Sicurezza → Blocco per paese.

Un NAS pubblicato su internet riceve, senza eccezioni, migliaia di tentativi al giorno da mezzo mondo. Il blocco automatico degli IP reagisce dopo i primi tentativi; questo è il contrario: se i tuoi entrano dall'Italia, ciò che viene da fuori dall'Italia non arriva nemmeno alla porta.

• È un elenco di permessi, non di bloccati. Bloccare i dieci paesi da cui arrivano più attacchi lascia aperti gli altri centottanta, e chi attacca lo sa.
• Dalla tua rete si entra sempre, qualunque cosa tu scelga. È la barriera che impedisce l'incidente che conta davvero: chiuderti fuori dal tuo NAS dal tuo stesso salotto.
• Gli intervalli di ogni paese si scaricano da soli e si aggiornano una volta alla settimana. Le assegnazioni degli indirizzi si spostano piano, ma si spostano: senza aggiornarle, con i mesi comincerebbe a restare fuori gente del tuo stesso paese.
• Se un elenco non si può scaricare, non si filtra nulla invece di filtrare tutto.

Attenzione se viaggi. Con l'Italia segnata, il tuo stesso telefono dall'estero non entra nemmeno lui. Se viaggi spesso, segna anche quei paesi o entra con Tailscale o NetBird: ciò che arriva da lì non passa da questo filtro.

Rapporto settimanale

Pannello di controllo → Sicurezza → Rapporto e trappola.

È il contrario di un allarme: un breve ripasso di come sta il NAS quando non succede nulla, sugli stessi canali del resto degli avvisi.

Comincia con il verdetto —un voto da 0 a 100 e una riga— e finisce con cosa fare, un breve elenco ordinato per urgenza. In mezzo: volumi, dischi, backup, istantanee, sicurezza (trappola, antivirus, blocchi), telecamere e aggiornamenti.

E confronta con la settimana scorsa, che è ciò che trasforma un numero in una decisione: «restano 400 GB» possono essere due anni o tre settimane. Il rapporto dice «400 GB liberi, 60 in meno di 7 giorni fa · a questo ritmo si riempie in 46 giorni», e con questo si sa già se bisogna comprare un disco adesso o non pensarci fino a Natale.

Esiste perché qualcuno si accorga che i backup non girano da un mese, o che a un volume resta un 6 %, prima che diventi un'urgenza.

Due dettagli pensati apposta:

• Si può leggere prima di accenderlo: la schermata mostra il rapporto che si manderebbe in questo momento. Un'email periodica di cui non sai come sarà finisce nel cestino.
• Se il NAS era spento al suo orario, si manda appena torna. Con lo spegnimento programmato, questa è la situazione normale.