外观
从 NAS 勒索案例检查自己的防线
本篇讨论的是其他 NAS 产品已公开的历史事件，用来解释通用防护原则；不能据此认定 fnOS 具有相同漏洞，也不能推断某个版本已经感染。
发现疑似加密或勒索后先阻止继续损害
立即隔离设备的外网和不必要的客户端连接，暂停可能传播改动的同步任务，保护未受影响的离线备份。不要批量重命名加密文件、执行来历不明的解密脚本或先格式化系统盘。是否关机、取证或制作镜像应结合故障状态和专业建议判断。
案例说明了什么
CISA 的《2022 年最常被利用的漏洞》列出了 QNAP Photo Station 的 CVE-2022-27593，并关联 DeadBolt 勒索活动。触发面是存在漏洞且可从互联网访问的应用，不能简单理解成“用户密码不够复杂”。另一个 CISA/NCSC 公告记录了 QSnatch 对 QNAP 设备的攻击，其中包含凭据窃取、后门和阻碍更新等行为。
这两类事件说明：强密码不能修补服务漏洞；网页还能打开不代表系统可信；攻击者拿到管理员权限后，同机备份和快照也可能受到影响。具体修复措施必须遵循受影响产品与版本的公告，不能把 QNAP 的恢复指令直接用在 fnOS 上。
把教训变成检查动作
- 列出路由器端口转发、IPv6 放行、DDNS、隧道和分享链接，逐项写出使用者。没有明确用途的入口撤销。
- 检查系统与每个应用的更新来源和当前版本，关注官方安全公告；自动更新失败也需要有人处理。
- 建立独立的备份账号，减少源设备覆盖全部历史副本的权限。将至少一份副本放到离线介质或有独立保留策略的异地目标。
- 用测试文件演练“错误删除传播到同步端后，能否从旧版本恢复”。如果只能看到两边都被删除，同步并没有提供需要的历史保护。
- 保存配置清单、恢复密钥、购买记录和支持渠道，但不要把所有恢复材料只放在这台 NAS 上。
真正发生异常时
记录发现时间、异常扩展名、勒索说明、登录异常与最近变更；截取必要证据时保护个人信息。通知有共享权限的家人暂停写入。先确定备份未被污染，再在可信环境中检查可恢复性；使用干净设备更换相关密码和令牌。含关键业务或唯一原件时，应尽早联系专业数据恢复或事件响应人员。
检查结果与练习
你应能够在不依赖故障 NAS 的情况下找到一份可读的备份、对应密钥和恢复步骤。练习是断开 NAS，尝试从独立副本恢复一个文件并打开；如果做不到，先补齐恢复条件，再增加新的外网服务。