Onbekende user aangemaakt

[Erwin1]

Beste allen,

Ik zie zojuist dat er door het systeem een test user is gemaakt, met bijbehorende home share.
Dit heb ik zeker weten zelf niet gedaan, de periode waarin dit is gebeurd kreeg ik wel veel meldingen van user 'admin' die probeerde in te loggen; waarna het ip-adres werd geblokkeerd.

Kan ik meer in detail achterhalen wat er is gebeurd, en/of er iemand binnen is geweest?
Ik heb 2FA aanstaan, en gebruik sterke wachtwoorden, firewall staat aan en admin account is uitgeschakeld.

[Briolet]

Je zou met Putty kunnen inloggen en dan het bestand : /var/log/messages  bekijken. Dit is een zeer uitgebreid logbestand. Altijd lastig zoeken in zoveel data, maar uit het andere log heb je een exact tijdstip.

En mocht hij al gerouleerd zijn, dan staan de oude logs gezipt in:  /var/log/messages.1.xz

[Erwin1]

Vreemd genoeg maakt die helemaal geen melding:



Ik vind wel wat in de acceslog, maar begrijp niet helemaal wat het betekend;

[DSGebruiker]

Hmm...

https://www.abuseipdb.com/check/144.139.231.64

Dat IP in de log-file die een login-poging doet in ieder geval is ietwat onrustwekkend...maar mischien ook niet als je NAS "open" aan Internet hangt...
Die melding komt van de "File Station Web API" precies, dus iemand die remote via File Station een login-poging doet.
The login process is making a request to SYNO.API.Auth API with the login method. If successful, the API returns an authorized session ID

[Briolet]

Dat access log zal wel uit de database file "/var/log/synolog/.SYNOCONNDB" komen.

Het enige wat mij nu opvalt is dat in messages gelogd wordt dat deze file 'roteert'. (Voorlaatste regel uit je screenshot)  Meestal houdt dat in dat de file 'vol' is en oude data wist om weer ruimte te maken. Waarschijnlijk omdat er op dat moment veel nieuwe access registraties waren.

Dat IP in de log-file die een login-poging doet in ieder geval is ietwat onrustwekkend...

Als ik de laatste 30 abuse meldingen kijk, gaat het vrijwel steeds om poort 5001 (of 5000) of om DSM.  Blijkbaar een IP dat specifiek naar synology nassen zoekt.