Ситуации, когда пользователя необоснованно обвиняют в удалении или порче данных, не редкость. Часто основным «свидетелем» обвинения выступает Журнал регистрации (ЖР) системы 1С, в котором зафиксированы действия под конкретной учетной записью. Однако Журнал регистрации не является абсолютной истиной в последней инстанции, и его записи требуют глубокого анализа. Разберем по шагам, как провести расследование, если данные были изменены якобы с вашего компьютера, и какие технические факторы могли к этому привести.
Прежде всего, проанализируем, какая информация фиксируется в Журнале регистрации при стандартных настройках. ЖР записывает Пользователя, Компьютер, Событие (Изменение, Удаление, Сеанс.Начало и т.д.) и Данные. Если речь идет об исчезновении контактной информации (адресов или телефонов), в журнале часто фиксируется не удаление объекта, а его Изменение, так как контактная информация в современных конфигурациях (на базе БСП) часто является частью объекта или связана с ним через регистры.
Рассмотрим важные параметры для анализа:
Один из ключевых вопросов: какой компьютер отобразится в ЖР, если кто-то подключился к вашей машине удаленно? Ответ зависит от способа подключения:
Вариант А: Программы управления рабочим столом (AnyDesk, TeamViewer, Chrome Remote Desktop). Если злоумышленник подключился к вашему активному сеансу Windows, пока вы отошли от компьютера, в Журнале регистрации отобразится ваш компьютер. Система не видит разницы между нажатием клавиш на физической клавиатуре и командами, пришедшими через эти программы.
Вариант Б: RDP (Удаленный рабочий стол). При подключении через RDP создается новая сессия Windows. Если база 1С развернута на терминальном сервере, в ЖР отобразится имя терминального сервера или имя вашего ПК, если используется сквозная авторизация. Однако в системных логах Windows (Event Viewer) на вашем компьютере или сервере при этом всегда фиксируется факт входящего подключения с указанием IP-адреса реального инициатора. Проанализируем эти логи параллельно с ЖР.
Часто «вредительство» оказывается результатом ошибки программиста или некорректно настроенного обмена данными. Разберем типичный пример программного кода, который может очистить контактную информацию у всех контрагентов, если запустить его неосторожно:
НаборЗаписей = РегистрыСведений.КонтактнаяИнформация.СоздатьНаборЗаписей();
// Если здесь забыть установить отбор по конкретному объекту (Контрагенту):
// НаборЗаписей.Отбор.Объект.Установить(СсылкаНаКонтрагента);
НаборЗаписей.Записать(); // Этот метод без отбора просто очистит весь регистр!
Если такая обработка была запущена пользователем с широкими правами (например, консультантом), в Журнале регистрации виновником будет значиться именно он. При этом пользователь мог просто нажать кнопку в интерфейсе, не подозревая о «начинке» этой кнопки.
Также стоит проверить Регламентные задания. Если в системе настроено фоновое задание (например, обмен с сайтом или другой базой) и в качестве «Пользователя для регламентных заданий» в настройках указана ваша учетная запись, то все действия этого задания будут записываться на ваш счет в ЖР, даже если ваш компьютер выключен.
Выясним причину, по которой под вашей учеткой мог зайти кто-то другой, не зная пароля. В 1С существуют инструменты (например, «Инструменты разработчика»), позволяющие администратору системы с полными правами подменить способ аутентификации. Администратор может временно отключить пароль для вашей учетной записи в Конфигураторе, зайти в базу, совершить действия и вернуть настройки назад. В ЖР это будет выглядеть как ваш вход.
Чтобы исключить это, необходимо проанализировать события «Данные. Изменение» в Журнале регистрации по самому справочнику Пользователи. Если перед «вредительством» кто-то заходил в настройки вашей учетной записи — это прямой след манипуляции.
Если вас обвиняют незаслуженно, рекомендуем выполнить следующие действия:
Компьютер, Сеанс, Транзакция. Ищите массовые изменения с идентичным временем до секунды..epf.ВыгрузкаЗагрузкаДанныхXML.epf перенести удаленные записи обратно. Это решит проблему бизнеса за считанные часы.Помните: учетная запись в информационной системе — это ваша личная ответственность. Никогда не оставляйте компьютер незаблокированным и не передавайте пароли коллегам. Как показывает практика, большинство подобных инцидентов происходит либо из-за чрезмерных прав доступа, данных «на всякий случай», либо из-за ошибок в коде автоматизации.