Guida alla sicurezza del NAS

Cos'è un NAS e perché dovresti averne uno

Nell'era in cui la quantità di dati che produciamo cresce ogni anno in modo esponenziale, la domanda di storage affidabile, accessibile e sicuro è diventata una priorità non solo per le aziende, ma anche per i professionisti e gli appassionati di tecnologia. In questo contesto nasce il NAS (Network Attached Storage): un dispositivo di archiviazione collegato direttamente alla rete locale, accessibile da tutti i dispositivi della stessa rete come se fosse un disco condiviso.

A differenza di un disco esterno USB, il NAS è sempre acceso, sempre connesso e gestibile tramite un'interfaccia web. Al suo interno girano un sistema operativo dedicato (come DSM di Synology o QTS di QNAP) e una serie di applicazioni che lo trasformano in un vero e proprio server privato: file server, media server, sistema di backup automatico, piattaforma di sorveglianza e persino host per container Docker.

Dal punto di vista hardware, un NAS è composto da:

• Uno o più bay per dischi rigidi (HDD o SSD), da 2 a decine di slot a seconda del modello.
• Un processore dedicato (spesso ARM o Intel Celeron nei modelli consumer).
• Memoria RAM per gestire i servizi in esecuzione.
• Interfacce di rete da 1 GbE a 10 GbE per i modelli professionali.
  Il cuore della sua utilità sta nel fatto che i dati rimangono fisicamente a casa tua o nel tuo ufficio, su hardware che controlli tu. Questo lo distingue radicalmente dai servizi cloud come Google Drive o Dropbox, e lo rende la scelta preferita da chi vuole esercitare la piena sovranità digitale sui propri dati.

NAS vs Cloud: il dilemma della sovranità digitale

Quando si parla di archiviazione, la domanda ricorrente è: perché usare un NAS invece di un servizio cloud che è già pronto, sincronizzato e non richiede manutenzione? La risposta non è banale e dipende dalle priorità di ciascun utente.

La rete come prima linea di difesa

Prima di configurare qualsiasi aspetto del NAS stesso, è fondamentale comprendere l'infrastruttura di rete in cui opera. Il NAS non è un'isola: è un nodo della rete locale, e la sicurezza di quella rete è il presupposto di tutto il resto.

Come il NAS ottiene il suo indirizzo IP: il protocollo DHCP

Quando colleghi il NAS al router tramite cavo Ethernet, il dispositivo non conosce ancora quale indirizzo IP usare. Entra in gioco il protocollo DHCP (Dynamic Host Configuration Protocol), che automatizza l'assegnazione degli indirizzi IP attraverso un processo in quattro fasi chiamato DORA:

1. Discover: Il NAS invia un messaggio broadcast sulla rete chiedendo: "C'è un server DHCP disponibile?"
2. Offer: Il router (che fa anche da server DHCP) risponde offrendo un indirizzo IP disponibile insieme a subnet mask, gateway e DNS.
3. Request: Il NAS accetta formalmente l'offerta inviando una richiesta di conferma.
4. Acknowledge: Il router conferma l'assegnazione e il NAS è ora raggiungibile sulla rete con quell'indirizzo.
   Per un NAS è buona pratica configurare una prenotazione DHCP (o IP statico) sul router, in modo che riceva sempre lo stesso indirizzo IP. Questo è essenziale per configurare correttamente le regole del firewall e i percorsi di backup automatico, che dipendono da un indirizzo di destinazione stabile.

Segmentazione della rete: isola il NAS con le VLAN

La segmentazione della rete è la misura di sicurezza più efficace per proteggere il NAS da minacce interne, ovvero da dispositivi già presenti nella rete locale che potrebbero essere compromessi. L'idea è semplice: invece di avere una rete piatta in cui tutti i dispositivi parlano liberamente tra loro, si divide la rete in segmenti logici separati chiamati VLAN (Virtual LAN).

Un esempio pratico di architettura segmentata per una rete domestica o di piccola impresa:

192.168.1.x /24  →  VLAN "Client" (PC, smartphone, tablet)
192.168.2.x /24  →  VLAN "NAS e Storage" (NAS, dischi di rete)
192.168.3.x /24  →  VLAN "IoT" (telecamere, smart TV, dispositivi smart home)

Con questa architettura, anche se un PC nella VLAN Client viene infettato da ransomware, il malware non può raggiungere direttamente il NAS perché si trova in un segmento di rete separato. Il traffico tra VLAN deve passare obbligatoriamente attraverso il firewall del router, che può applicare regole granulari su quale comunicazione è permessa e quale no.

Il firewall come controllore del traffico

Un firewall è il sistema che decide quale traffico di rete può passare e quale deve essere bloccato, basandosi su un insieme di regole definite dall'amministratore. Ogni pacchetto che attraversa il confine tra due segmenti di rete viene ispezionato secondo questi criteri:

• Monitoraggio del traffico: Il firewall esamina tutti i pacchetti in transito tra le VLAN e verso internet.
• Ispezione dei pacchetti: Analizza header e contenuto per determinare se il traffico corrisponde a pattern legittimi o sospetti.
• Regolazione del traffico: Applica le policy definite (es. "i PC della VLAN Client possono accedere al NAS solo sulla porta SMB 445, nient'altro").
• Protezione da minacce esterne: Blocca connessioni in entrata non autorizzate da internet verso i dispositivi interni.
  Router moderni come quelli basati su pfSense, OPNsense o i prodotti Ubiquiti UniFi offrono funzionalità complete di VLAN e firewall granulare, rendendoli la scelta preferita per chi vuole costruire un'infrastruttura di rete seria a costi contenuti.

RAID: ridondanza non è backup

Uno degli errori più comuni tra chi si avvicina per la prima volta al NAS è pensare che il RAID sia un sistema di backup. Non lo è. Il RAID (Redundant Array of Independent Disks) garantisce che il sistema continui a funzionare in caso di guasto fisico di un disco, ma non protegge dalla cancellazione accidentale di file, da un attacco ransomware o da un errore umano: se cancelli un file, il RAID lo cancella su tutti i dischi istantaneamente.

I livelli RAID più comuni

Attenzione — RAID 5 e il rischio URE: Durante la ricostruzione del RAID dopo la sostituzione di un disco guasto, il controller legge l'intero contenuto degli altri dischi. Su dischi di capacità superiore a 4 TB, la probabilità di incontrare un Unrecoverable Read Error (URE) è statisticamente significativa e può rendere la ricostruzione impossibile, causando la perdita totale dei dati. Per array con dischi da 4 TB o superiori, valuta seriamente RAID 6 o soluzioni come il RAID-Z2 di ZFS.

Hardening iniziale: addio all'account "admin"

Ogni NAS esce di fabbrica con un account amministratore denominato "admin". Questo nome è il primo che qualsiasi bot o attaccante proverà in una scansione automatica. La prima operazione da eseguire, prima ancora di connettere il NAS a internet, è eliminare questo vettore di attacco ovvio seguendo tre passi:

1. Crea un nuovo account con un nome utente non prevedibile.
2. Assegnagli i privilegi di amministratore completi.
3. Disabilita (non solo rinomina) l'account "admin" originale.
   Questo semplice intervento riduce drasticamente l'efficacia degli attacchi a dizionario e brute-force automatizzati, che tipicamente non conoscono il nome utente e devono indovinare entrambe le credenziali.

Password robuste e autenticazione a due fattori

I NAS esposti in rete sono bersaglio di attacchi brute-force continui. Una password di 8 caratteri alfanumerici può essere violata in pochi minuti con strumenti moderni. La combinazione di una passphrase lunga (almeno 16 caratteri) e dell'autenticazione a due fattori (2FA) via app TOTP (come Google Authenticator o Aegis) rende questo tipo di attacco praticamente inefficace: anche se l'attaccante scopre la password, non può accedere senza il codice temporaneo generato sul tuo dispositivo fisico.

Una misura complementare e altrettanto efficace è il blocco automatico dell'IP dopo 3–5 tentativi di login falliti. Questa funzionalità è disponibile nelle impostazioni di sicurezza di tutti i principali sistemi operativi NAS e rappresenta la difesa più semplice da configurare con il massimo ritorno in termini di protezione.

Ridurre la superficie di attacco: chiudi i servizi inutili

Un NAS moderno è una piattaforma versatile: può fare da server web, mail, multimedia e sistema di sorveglianza contemporaneamente. Il problema è che ogni servizio attivo corrisponde a una porta aperta sulla rete, ovvero una potenziale superficie di attacco. Il principio guida è semplice: se non usi un servizio, disabilitalo.

Checklist dei servizi da disabilitare se non strettamente necessari:

• Telnet — protocollo non cifrato, obsoleto e intrinsecamente insicuro. Non esiste motivo valido per tenerlo attivo nel 2025.
• SSH — potente ma pericoloso se esposto senza policy restrittive. Disabilitarlo se non si è esperti di amministrazione Linux; se necessario, limitarne l'accesso a specifici indirizzi IP.
• FTP — trasmette credenziali in chiaro. Utilizzare sempre SFTP o FTPS in alternativa.
• UPnP — il peggiore di tutti: apre porte sul router in modo automatico e silenzioso, senza che tu ne sia consapevole. Va disabilitato sia sul NAS che sul router.

SMB: il protocollo dei file e i suoi pericoli

Il protocollo SMB (Server Message Block) è il linguaggio che Windows e i sistemi operativi moderni utilizzano per accedere alle cartelle condivise del NAS sulla rete locale. È comodo, integrato nativamente e non richiede configurazioni aggiuntive sul client. Tuttavia, nasconde un'insidia storica molto seria.

SMB v1 è vulnerabile a exploit devastanti come EternalBlue, il vettore che ha reso possibile l'attacco globale WannaCry nel 2017, con danni stimati in miliardi di dollari. Nonostante questa vulnerabilità sia nota da anni, SMB v1 è ancora abilitato per default su alcuni NAS e versioni di Windows.

Per verificare quale versione SMB è attiva sul tuo sistema Linux o NAS con accesso shell:

smbstatus --version
testparm -s | grep -i "server min protocol"

Per forzare SMB v2 come minimo nel file di configurazione di Samba (/etc/samba/smb.conf):

[global]
  server min protocol = SMB2
  server max protocol = SMB3
  smb encrypt = required

Dopo la modifica, riavvia il servizio con systemctl restart smbd. Assicurati che tutti i client della rete supportino SMB v2 (Windows 7 e superiori lo supportano nativamente).

Il principio del minimo privilegio (PoLP)

Il Principio del Minimo Privilegio (Principle of Least Privilege, PoLP) stabilisce che ogni utente e processo deve avere accesso esclusivamente alle risorse strettamente necessarie per svolgere il proprio compito, e niente di più.

Applicato al NAS, questo significa:

• Niente "Everyone": Non assegnare mai permessi di lettura o scrittura al gruppo "Tutti". Ogni utente deve avere la propria cartella con permessi nominali. Condividere una cartella con accesso universale equivale a lasciare la porta di casa aperta.
• Sola lettura dove possibile: Se un utente deve solo fruire di contenuti multimediali, non dargli il permesso di scrittura. In caso di infezione del suo PC da parte di un virus o ransomware, il malware non potrà modificare o cancellare i file sul NAS perché la connessione SMB è in sola lettura.
• ACL granulari: Usa le Access Control Lists (ACL) per definire permessi a livello di singola cartella, singolo file o gruppo di utenti. I sistemi operativi NAS moderni (DSM, QTS) offrono interfacce grafiche complete per la gestione delle ACL compatibili con lo standard Windows NTFS.

File system moderni: Btrfs e ZFS

La scelta del file system su cui formattare i volumi del NAS ha implicazioni dirette sulla sicurezza e integrità dei dati nel lungo periodo. Il tradizionale EXT4 è affidabile ma privo di meccanismi di rilevamento proattivo della corruzione dei dati.

I file system moderni come Btrfs (usato da Synology) e ZFS (usato da TrueNAS e altri) offrono funzionalità di sicurezza integrate che EXT4 non possiede:

• Self-healing (auto-riparazione): Entrambi implementano il checksumming di ogni blocco dati. Se un blocco viene corrotto silenziosamente da un difetto hardware (fenomeno noto come Bit Rot), il file system lo rileva al momento della lettura e, se esiste una copia ridondante (come in RAID), lo ripara automaticamente senza intervento dell'utente.
• Snapshot atomici: Permettono di registrare lo stato del file system in un dato istante in modo quasi istantaneo e con un consumo minimo di spazio (grazie alla tecnica copy-on-write). Gli snapshot non sono copie complete dei dati, ma registrazioni delle differenze rispetto allo stato precedente.

Snapshot: la macchina del tempo contro il ransomware

Gli snapshot sono la difesa numero uno contro gli attacchi ransomware. Ecco perché: se un virus cifra tutti i tuoi file alle 10:00, puoi ripristinare lo snapshot delle 09:55 in pochi secondi, annullando completamente l'attacco come se non fosse mai avvenuto.

Per massimizzare l'efficacia degli snapshot come strumento difensivo, configura quelli destinati al backup come immutabili (Read-Only). Questo impedisce al ransomware — anche se ha già ottenuto il controllo del sistema — di cancellare o modificare gli snapshot stessi. Uno snapshot in sola lettura è, per definizione, immune alla cifratura da parte di malware che agisce tramite permessi utente standard.

Una policy di snapshot ragionevole per un NAS domestico o di piccola impresa prevede:

• Snapshot orari, conservati per 24 ore.
• Snapshot giornalieri, conservati per 30 giorni.
• Snapshot settimanali, conservati per 3 mesi.

Anatomia di un attacco ransomware al NAS

Comprendere il meccanismo con cui il ransomware colpisce un NAS è essenziale per costruire le difese corrette. Il processo si articola tipicamente in quattro fasi:

1. Infiltrazione: Un PC della rete locale viene infettato tramite una mail di phishing o un sito web compromesso.
2. Scansione: Il malware in esecuzione sul PC infetto esegue una scansione della rete locale alla ricerca di risorse condivise (il tuo NAS) raggiungibili tramite SMB.
3. Cifratura: Il malware utilizza la connessione SMB già autenticata del PC della vittima per sovrascrivere tutti i file sul NAS con versioni cifrate, senza mai dover violare direttamente il NAS.
4. Riscatto: I file originali sono irrecuperabili e rimangono solo le richieste di pagamento.
   La conclusione operativa è diretta: la segmentazione della rete (per isolare il NAS dai PC potenzialmente infetti) e gli snapshot immutabili sono le due contromisure che, combinate, rendono questo scenario non catastrofico. Se la VLAN del NAS è separata dalla VLAN dei client e il firewall blocca le connessioni SMB non autorizzate, il malware sul PC non riesce nemmeno a raggiungere il NAS per iniziare la cifratura.

Accesso remoto sicuro: mai il port forwarding

Aprire le porte del NAS direttamente su internet tramite port forwarding sul router (ad esempio le porte 5000 o 8000 di DSM) equivale a incollare la chiave di casa sulla porta d'ingresso. Il NAS diventa immediatamente visibile a scanner globali come Shodan e diventa bersaglio di attacchi automatizzati.

Le alternative sicure sono due:

• VPN: È la soluzione raccomandata. Ti connetti prima alla VPN della tua rete domestica o aziendale e poi accedi al NAS come se fossi fisicamente in loco, senza esporre nulla su internet. Tra le opzioni disponibili, WireGuard è il protocollo moderno preferito per la sua semplicità e le sue prestazioni superiori rispetto a OpenVPN. Per chi non vuole gestire un server VPN proprio, Tailscale (basato su WireGuard) offre una soluzione zero-config che non richiede IP fisso né apertura di porte sul router: i due dispositivi si trovano automaticamente tramite una rete mesh cifrata.
• Reverse proxy con HTTPS: Se è assolutamente necessario esporre un servizio specifico (ad esempio una web app o un'interfaccia Nextcloud), usa un reverse proxy (come Nginx Proxy Manager o Traefik) con certificati TLS validi emessi da Let's Encrypt. Il reverse proxy gestisce la terminazione TLS e smista il traffico verso i servizi interni. In questo scenario, l'unica porta aperta su internet è la 443 (HTTPS).

Crittografia a riposo (Encryption)

La crittografia a riposo risponde a uno scenario di minaccia spesso sottovalutato: il furto fisico del dispositivo. Se un malintenzionato accede fisicamente al NAS, può smontare i dischi e montarli su un altro computer per leggerne il contenuto senza alcuna credenziale.

La crittografia del volume (AES-256), disponibile su tutti i principali NAS consumer, rende i dischi inutilizzabili senza la chiave di sblocco. Il cifrario AES-256 opera in modalità simmetrica: la stessa chiave viene usata per cifrare e decifrare i dati. Questa chiave è protetta da una passphrase scelta dall'utente e non è mai memorizzata in chiaro sul dispositivo.

Da un punto di vista pratico, la crittografia del volume introduce un leggero overhead sulle prestazioni I/O (tipicamente tra il 5% e il 15% a seconda dell'hardware), ma rappresenta un requisito non negoziabile per qualsiasi NAS che contenga dati sensibili o sia soggetto a normative come il GDPR. Molti NAS moderni integrano accelerazione hardware AES (istruzioni AES-NI) che riduce questo impatto al minimo.

La regola del 3-2-1

Il backup è la rete di sicurezza finale contro qualsiasi scenario di perdita dei dati. La regola del 3-2-1 è lo standard dell'industria per una strategia di backup resiliente:

• 3 copie dei dati: L'originale più due backup distinti. La ridondanza multipla protegge da guasti simultanei e da errori umani.
• 2 supporti diversi: Ad esempio il NAS stesso e un hard disk esterno. Non conservare tutti i backup sullo stesso tipo di supporto o sullo stesso sistema.
• 1 copia off-site: Una copia deve trovarsi fisicamente in un luogo diverso dall'originale: casa di un familiare, ufficio, o un servizio cloud cifrato. Questo protegge da eventi catastrofici locali come incendi, allagamenti o furti.
  Per automatizzare la copia verso un disco esterno USB collegato al NAS, uno script rsync su Linux è la soluzione più semplice ed efficace:

#!/bin/bash
SORGENTE="/volume1/dati"
DESTINAZIONE="/volumeUSB1/backup"
LOG="/var/log/backup_3-2-1.log"
rsync -avz --delete --checksum "$SORGENTE" "$DESTINAZIONE" >> "$LOG" 2>&1
echo "Backup completato il $(date)" >> "$LOG"

L'opzione --checksum garantisce l'integrità dei file confrontando il checksum e non solo la data di modifica, mentre --delete sincronizza le cancellazioni mantenendo la destinazione allineata alla sorgente.

Backup immutabili: la tecnologia WORM

I backup standard possono essere cancellati o cifrati da un ransomware con privilegi sufficienti. I backup immutabili risolvono questo problema alla radice attraverso la tecnologia WORM (Write Once, Read Many), che impedisce la modifica o la cancellazione di un file per un periodo prestabilito (ad esempio 30 giorni), indipendentemente dai permessi dell'utente.

Una volta scritto in modalità WORM, un file non può essere cancellato nemmeno dall'amministratore del sistema prima della scadenza del periodo di retention. Questo rende i backup immutabili l'ultima linea di difesa assoluta: anche in caso di compromissione totale del sistema, i dati di backup rimangono intatti e recuperabili.

Soluzioni come Synology Hyper Backup e QNAP Hybrid Backup Sync supportano nativamente la retention immutabile. Per chi adotta soluzioni cloud come destinazione off-site, provider come Backblaze B2 e AWS S3 Object Lock offrono WORM nativamente.

Aggiornamenti del firmware

I NAS sono dispositivi critici esposti a minacce reali. Nel corso degli anni, sia QNAP che Synology hanno subito vulnerabilità gravi sfruttate attivamente in attacchi di massa (come DeadBolt nel 2022, che ha colpito decine di migliaia di NAS QNAP esposti in rete). In tutti questi casi, le patch correttive erano disponibili settimane o mesi prima che gli attacchi si diffondessero su larga scala.

La lezione è semplice: la maggior parte degli attacchi colpisce sistemi non aggiornati. La configurazione raccomandata è:

• Abilitare gli aggiornamenti di sicurezza automatici nella dashboard del NAS.
• Iscriversi ai bollettini di sicurezza del produttore (Synology Security Advisories, QNAP Security Advisory).
• Pianificare un controllo manuale mensile per gli aggiornamenti delle applicazioni installate tramite il package manager del NAS.

Antivirus sul NAS: serve davvero?

La risposta è sì, ma con una precisazione importante sull'obiettivo. Un antivirus installato sul NAS non serve principalmente a proteggere il NAS stesso (che gira su Linux e non è il target diretto della maggior parte dei malware per Windows), ma a prevenire che il NAS diventi un distributore involontario di virus per tutti i PC della rete che leggono i file su di esso.

I principali sistemi operativi NAS offrono pacchetti antivirus integrati come ClamAV (open source, gratuito) o suite commerciali come McAfee (oggi Trellix dopo il rebranding del 2022). Questi engine scansionano i file al momento dell'upload e su base programmata, rilevando e mettendo in quarantena i file infetti prima che vengano distribuiti ai client della rete.

Per chi gestisce un NAS in contesto aziendale, è consigliabile integrare i log di accesso del NAS con una soluzione SIEM (Security Information and Event Management) per rilevare pattern anomali come accessi a orari inusuali, upload massivi di file cifrati o tentativi di login ripetuti.

UPS: la sicurezza elettrica

Un aspetto della protezione dei dati spesso ignorato è la sicurezza elettrica. Un'interruzione improvvisa di corrente mentre il NAS sta scrivendo dati su disco può corrompere il file system e, in scenari estremi, distruggere l'intero volume RAID, rendendo irrecuperabili anche i dati ridondati.

Un UPS (Uninterruptible Power Supply), colloquialmente chiamato "gruppo di continuità", elimina questo rischio. Collegato via USB al NAS, permette al sistema operativo di rilevare il blackout in tempo reale e di eseguire uno shutdown controllato prima che la batteria si esaurisca, salvaguardando l'integrità di tutti i dati in scrittura.

La maggior parte dei principali sistemi operativi NAS (DSM, QTS) include il supporto nativo per UPS via USB e permette di configurare la soglia di carica batteria sotto la quale attivare lo shutdown automatico. Per ambienti con più NAS o server, il protocollo NUT (Network UPS Tools) permette a un singolo UPS di gestire lo shutdown coordinato di più macchine sulla stessa rete.

Test di ripristino: la prova del nove

Qualsiasi strategia di backup, per quanto sofisticata, è priva di valore se non è mai stata testata. Un backup di cui non è stato verificato il ripristino è, operativamente, come se non esistesse.

La regola pratica è la seguente: almeno una volta ogni sei mesi, simula un ripristino reale recuperando un file a caso dal tuo backup più vecchio. Se la procedura fallisce in un contesto controllato, non funzionerà durante un'emergenza reale — quando il tempo è critico e la pressione è massima.

Il test di ripristino dovrebbe coprire:

• Recupero di un singolo file da uno snapshot.
• Recupero di una cartella completa dal backup off-site.
• Verifica della leggibilità dei file recuperati (non basta che i file esistano, devono poter essere aperti correttamente).
• Documentazione del tempo di ripristino (RTO — Recovery Time Objective), essenziale per valutare se il sistema di backup soddisfa i requisiti di continuità operativa.
  Un NAS sicuro non è il risultato di un'unica configurazione iniziale, ma di un processo continuo di aggiornamento, monitoraggio e verifica. Le misure descritte in questa guida, applicate in modo sistematico e integrate in una rete correttamente segmentata e protetta da firewall, trasformano il tuo NAS da un potenziale vettore di rischio a una fortezza digitale affidabile e sotto il tuo pieno controllo.