Synology NASを安全に使うためには、どのようなセキュリティ対策が必要なのでしょうか。
以前、SFTPを使用したくてポート22を開放したことがあります。すると、いわゆるブルートフォース攻撃を受け、不正ログインを試みるアクセスが発生。NASから何通も警告メールが届き、大変なことになりました。海外からの攻撃でした。
その経験から、NASは日々サイバー攻撃の標的になり得ることを知り、できる範囲でセキュリティを強化してきました。
そして2026年、今度はPHPの脆弱性「PHP2Shell」が話題になっています。こうした脆弱性への対策も大切です。この記事では、私が実際に行っている8つのセキュリティ設定に加え、PHPの脆弱性について確認したことや、私のNASでの対応も紹介します。
Synologyのナレッジセンターの下記を参考に、私が設定した8つのセキュリティ対策を紹介します。各々の設定方法はこちらの記事を参照してください。
セキュリティアドバイザーを有効にする
自分のNASが健康であるか診断してくれます。マルウェアに感染やネットワーク構成は重要です。ポート22を開放してしまったときはネットワーク構成が赤色に変化し危険を知らせ、処置方法（ポート番号変更など）を教えてくれました。定期的にスキャンするように心がけています。
デフォルトのadminアカウントを無効にする
adminが攻撃対象になるようです。無効にしました。
自動ブロックとアカウント保護を有効にする
自動ブロックで何度もログインに失敗したアドレスをブロックできます。アカウント保護を有効にして、私は失敗回数を減らして5回までにしました。
暗号化された接続を使用する
・DSMのログインはhttp接続を自動的にhttpsにリダイレクトしています。
・リバースプロキシはHSTSを有効にしています。
・モバイルアプリを使用するときはhttpsを有効にチェックを入れています。
・データー転送はSFTPを使用しています。
ポート開放をできるだけ避ける
以前はDDNSを利用していたため、外部からNASへアクセスするために必要なポートを開放し、ファイアウォールでもアクセスを制限していました。
私の場合、現在、ポート開放を必要としないCloudflare TunnelやTailscaleを利用しているため、以前とは接続方法が変わっています。
外部公開するサービスと、NASへ直接アクセスするための接続を分け、必要以上にポートを開放しないことを意識しています。
DoS保護を有効にする
私はデフォルトのLAN1ポートからLAN3（10GbE）に変更したのでLAN3を選択して有効にしました。
デフォルトの管理ポートを変更する
私はDSMポート5000と5001、SSH22は変更しました。
例えば、DSMポートの5000と5001を2000と2001へ変更したとします。モバイルアプリDSFileへのログインは「NASのIPアドレス:2001」あるいは「DDNSホスト名:2001」となり、プレーヤー設定のHTTPポートを2000へ変更します。最後に「:2001」を加えないとログインできません。デフォルトの5001は入力なしでサインインできる仕様になっています。ポート開放の番号も変更が必要です。
Google Authenticatorで2要素認証を設定する
Synologyの2要素認証では、Synology Authenticatorを利用する方法もありますが、私はブログのセキュリティ対策ですでに使っているGoogle Authenticatorを選びました。
この記事ではGoogle Authenticatorを使った設定方法を紹介します。
まず、スマートフォンにGoogle Authenticatorアプリをインストールしておきます。
その後、ユーザーごとの設定で認証アプリを登録します。
- DSM右上のユーザーアイコンから「個人設定」→「セキュリティ」を開きます。
または、コントロールパネル→「セキュリティ」→「アカウント」の「2要素認証」から、「個人」のリンクをクリックして設定画面を開くこともできます。 - 認証アプリとして「確認コード（OTP）」を選び、Google Authenticatorを登録します。
※途中でSecure SignInのダウンロード画面が表示されますが、Google Authenticatorを使用する場合は、ダウンロードせずに次へ進みます。 - 表示されたQRコードを、スマートフォンのGoogle Authenticatorで読み取ります。
- アプリに表示された6桁の認証コードを入力します。
- バックアップ用のメールアドレスを登録します。
- バックアップコード（復旧キー）を安全な場所に保管します。
これで、DSMへのログイン時にパスワードに加えて、Google Authenticatorの認証コードが必要になります。
私は2要素認証を導入し、パスワードだけではログインできないようにすることで、不正ログイン対策を強化しています。
2026年話題のPHP2Shell脆弱性とは？
Synology NASもPHPの脆弱性に注意
2026年、PHPの脆弱性「PHP2Shell」が話題になりました。
Synologyの公式発表によると、Synology CalendarやMail Station、Web Station、WordPressなど、PHPを利用する一部のパッケージが影響を受けます。すべてのSynology NASが同じように影響を受けるわけではなく、利用しているパッケージや環境に応じた確認が必要です。
また、DSM内部で使用されているPHPについては、外部から攻撃できる構造ではないため、リスクは非常に低いと評価されています。今後のDSMリリースで修正が予定されていますが、影響を受けるパッケージを利用している場合は、パッケージセンターからPHPを更新することが推奨されています。
私もパッケージセンターの更新通知をきっかけに、NASのPHPとDockerで運用しているWordPressのPHPバージョンを確認しました。
ここでは、Synologyの公式発表をもとに、確認しておきたいポイントと、私のNASで実際に確認したことを紹介します。
Synology NASで確認しておきたいこと
- PHPの更新通知を確認する： パッケージセンターでPHPの更新が案内されていないか確認します。
- 対象パッケージを確認する： 影響を受けるパッケージを利用している場合は、Synologyの公式案内に従ってPHPを更新します。
- Docker版WordPressの場合： DSMのPHPとは別環境のため、コンテナ内のPHPバージョンも確認します。
Docker版WordPressの場合は？
私はSynology NASのDockerでWordPressを運用しているため、Web Stationはインストールしていません。
今回、パッケージセンターでPHP 8.2の更新通知を見つけたことをきっかけに、Docker版WordPressのPHPも確認しました。使用していたのはPHP 8.3.36でした。
DSMのパッケージセンターにあるPHPとDockerコンテナ内のPHPは別の環境なので、それぞれ分けて確認する必要がありました。
公式情報はこちら。