← На главную

При развертывании кластера 1С на базе ОС Windows Server 2019 часто возникает закономерный вопрос: как надежно защитить базу данных от несанкционированного доступа, взлома и утечки данных? Ситуация, когда все пользователи работают исключительно через "Тонкий клиент", дает нам определенные преимущества, однако базовых мер вроде сложных паролей и скрытия списка пользователей при входе явно недостаточно. Разберем по шагам, как выстроить эшелонированную защиту сервера 1С, начиная от настроек платформы и заканчивая изоляцией на уровне сети и СУБД.

1. Базовая авторизация и настройки платформы 1С

Первое, на что следует обратить внимание — это управление учетными записями. Проанализируем базовые методы защиты:

1. Скрытие пользователей и сложные пароли: Снимите флажок "Показывать в списке выбора" для всех пользователей информационной базы. Это исключит возможность простого перебора паролей (брутфорса) по списку сотрудников.
2. Windows-авторизация (OS Authentication): По возможности используйте доменную авторизацию. При правильной настройке домена Windows Server 2019 (с использованием протоколов NTLMSSP или Kerberos) это существенно повышает безопасность, так как управление паролями и политиками их сложности переносится на уровень Active Directory.
3. Двухфакторная аутентификация (2FA): В современных версиях платформы 1С:Предприятие 8.3 есть встроенные механизмы двухфакторной аутентификации. Настройка дополнительного подтверждения входа через SMS или специальные приложения-аутентификаторы станет серьезным препятствием для злоумышленников, даже если пароль пользователя скомпрометирован.
4. Отключение лишних публикаций: Если пользователи работают только через "Тонкий клиент", обязательно отключите публикацию Web-клиента, а также интерфейсы OData (стандартный интерфейс REST), если они не используются для интеграций со сторонними системами. Любой открытый интерфейс — это потенциальная точка входа.

2. Сетевая безопасность, VPN и шифрование (HTTPS)

Если база данных доступна через интернет (пользователи подключаются удаленно), необходимо внедрить жесткие сетевые ограничения. Рассмотрим подробнее, как защитить трафик и порты:

1. Использование VPN: Самый надежный способ скрыть сервер 1С от интернета — поместить его в закрытую виртуальную частную сеть (VPN). В этом случае доступ к серверу будет только у тех устройств, которые успешно подключились к VPN-шлюзу вашей компании.
2. Публикация через веб-сервер (HTTPS): Если использование VPN невозможно, рекомендуется настроить подключение "Тонкого клиента" через веб-сервер (IIS или Apache). Обязательно используйте защищенное соединение SSL/TLS (HTTPS). Трафик будет зашифрован, и перехватить данные аутентификации станет практически невозможно.
3. Брандмауэр Windows (Firewall): Сам кластер 1С не должен "смотреть" в публичную сеть напрямую. Рабочие порты кластера (обычно 1540, 1541, а также диапазон 1560-1591) должны быть строго закрыты брандмауэром для внешних подключений. Открытым для внешнего мира должен оставаться только порт 443 (HTTPS) веб-сервера. Весь трафик к 1С маршрутизируется строго через него.

3. Изоляция службы Агента сервера 1С (ragent)

Критически важно правильно настроить учетную запись, от имени которой запускается служба сервера 1С. Разберем типичную ошибку и правильное решение.

Запуск службы 1С под правами LocalSystem, а тем более под учетной записью администратора домена — это грубейшее нарушение безопасности. Если злоумышленник найдет уязвимость в платформе 1С или конфигурации, он получит полный контроль над операционной системой и доменом.

Как сделать правильно: Создайте отдельную локальную или доменную учетную запись с минимальными правами специально для службы 1С. Выдайте этому пользователю:

1. Право запуска в качестве службы (Log on as a service).
2. Права на чтение и запись только в каталог кластера (стандартный путь C:\Program Files\1cv8\srvinfo).
3. Права на системные папки временных файлов.

Этот пользователь ни в коем случае не должен состоять в группе локальных администраторов сервера!

4. Использование "Профилей безопасности" 1С

В платформе 1С:Предприятие 8.3 реализован мощный механизм защиты — Профили безопасности кластера. Они позволяют изолировать базы данных друг от друга и жестко ограничить возможности серверного кода. С их помощью мы можем запретить:

• Выполнение любых команд операционной системы с помощью функции КомандаСистемы или объекта ЗапускПриложения.
• Использование внешних компонент и COM-объектов (один из самых частых векторов атак при запуске вредоносных внешних обработок).
• Обращение к файловой системе сервера за пределами специально разрешенных временных папок.
• Исходящие интернет-соединения на неизвестные ресурсы (например, скачивание вредоносного ПО кодом 1С).

Настройте строгий профиль безопасности для вашей рабочей информационной базы в консоли администрирования кластера.

5. Защита на уровне СУБД (MS SQL Server / PostgreSQL)

Безопасность платформы 1С — это лишь половина дела. База данных также нуждается в защите. Рассмотрим основные меры:

1. Выделенный сервер СУБД: Желательно разнести кластер 1С и сервер баз данных на разные физические или виртуальные машины.
2. Сетевой доступ: Доступ к порту СУБД (например, 1433 для MS SQL или 5432 для PostgreSQL) должен быть разрешен исключительно с IP-адреса сервера 1С. Остальной сети этот порт должен быть недоступен.
3. Учетные записи СУБД: Никогда не используйте суперпользователей (sa в SQL Server или postgres в PostgreSQL) для подключения 1С к базе данных. Создайте отдельного логина СУБД, который является владельцем (db_owner) только одной конкретной базы 1С и не имеет прав доступа к системным базам данных или другим таблицам на сервере.

6. Безопасность веб-сервера (IIS) и WAF

Если для публикации баз 1С используется штатный Internet Information Services (IIS) на Windows Server 2019, проанализируем его настройки:

Отключите в IIS показ версий сервера (в HTTP Response Headers) и запретите просмотр каталогов (Directory Browsing). Оставьте включенными только те модули расширения (ISAPI или Web Server Extensions), которые требуются для работы 1С. Для защиты от веб-специфичных угроз (DDoS-атаки, SQL-инъекции в веб-интерфейсе, сканирование портов) рекомендуется разместить перед веб-сервером IIS систему класса Web Application Firewall (WAF) или настроить Reverse Proxy (например, Nginx).

7. Аудит и защита резервных копий

Даже при идеальной защите необходимо быть готовым к инцидентам. Выясним причину возможных аномалий с помощью мониторинга:

1. Технологический журнал 1С: Настройте сбор событий безопасности (события типа SEC). Это позволит вам фиксировать все факты входа (как успешные, так и неудачные), попытки смены паролей и изменения прав доступа. В связке с системным журналом Windows (Security Event Log) это даст исчерпывающую картину происходящего.
2. Защита бэкапов: Часто хакеры-вымогатели (шифровальщики) при проникновении в сеть целенаправленно уничтожают не только рабочие базы, но и их копии. Резервные копии баз данных (бэкапы средствами SQL) должны сохраняться в изолированное хранилище, к которому нет прямого сетевого доступа со стороны сервера 1С. Обязательно используйте шифрование для архивов с резервными копиями.

Подводя итог, можно сказать, что безопасность сервера 1С 8.3 — это не разовая галочка в настройках, а комплексный процесс. Сочетание закрытых портов, минимальных прав для служб, шифрования трафика и регулярного резервного копирования в изолированные хранилища позволит вам спать спокойно и быть уверенным в сохранности корпоративных данных.