セキュリティ板にも報告しましたが、こっちが先にかいたので
「nas」は記憶違いで正確に言うと接続ログは以下のようなもの

UDP 192.168.0.3/ntp --> 17.254.0.31/ntp

これはアップルコンピュータ
ほぼスリープ状態にあるはずのマシンから
Appleに接続されていました

ログイン項目あるデーモンを発見したので
消して追証してみます