Рано или поздно в любой организации возникает классический спор между системным администратором и специалистом по 1С. Администратор, руководствуясь соображениями безопасности и корпоративными регламентами, настаивает на установке антивирусного ПО на сервер под управлением Windows Server (или Linux) с установленным сервером «1С:Предприятие» и СУБД MS SQL Server. Специалист по 1С, в свою очередь, категорически против, так как опасается критического падения производительности, зависания рабочих процессов и блокировок файлов баз данных.
В этой статье мы подробно разберем этот конфликт интересов, проанализируем реальные риски заражения серверных систем, изучим официальные позиции вендоров и составим исчерпывающее руководство по настройке исключений, если антивирус на сервере все же необходим.
Давайте разберем типичные сценарии работы сервера и выясним, насколько велика вероятность проникновения вредоносного ПО в различных конфигурациях инфраструктуры.
Сценарий 1. Выделенный сервер 1С и СУБД (без терминального доступа пользователей)
Если сервер выполняет исключительно роли сервера приложений «1С:Предприятие» (процессы ragent.exe, rmngr.exe, rphost.exe) и сервера баз данных (MS SQL Server), а доступ к нему имеют только администраторы по протоколу RDP, то классических векторов заражения здесь практически нет. Пользователи не запускают на этом сервере браузеры, не открывают электронную почту и не скачивают подозрительные файлы. В этом случае установка антивируса с постоянным сканированием файловой системы в реальном времени не имеет практического смысла и будет лишь бесполезно расходовать вычислительные ресурсы процессора и дисковой подсистемы.
Сценарий 2. Сервер совмещает роли СУБД, 1С и терминального сервера (RDP)
Это крайне распространенная архитектура в сегменте малого и среднего бизнеса, когда из соображений экономии на одной физической или виртуальной машине запускаются и базы данных, и рабочие процессы 1С, и терминальные сессии пользователей. В такой конфигурации антивирус строго обязателен. Пользователи работают в терминальной среде, открывают интернет-сайты, запускают сторонний софт и пользуются почтой. Без надежного средства защиты такой сервер гарантированно будет заражен в кратчайшие сроки.
Сценарий 3. Логические угрозы через прикладные механизмы 1С
Даже на изолированном сервере существует риск выполнения вредоносного кода. Проанализируем ситуацию: пользователь запускает внешнюю обработку (файл *.epf), скачанную из ненадежного источника в интернете. Если в этой обработке содержится вызов вредоносной внешней компоненты или скрипта, код будет выполнен на сервере с правами учетной записи, под которой запущена служба rphost.exe. Если эта служба запущена с правами локального администратора, вредоносное ПО получит полный контроль над системой.
Среди разработчиков и администраторов 1С бытует опасное заблуждение: «Пока служба MS SQL Server запущена и держит файлы баз данных (*.mdf, *.ldf) открытыми, ни один вирус-шифровальщик не сможет их заблокировать и зашифровать, так как операционная система монопольно блокирует доступ к этим файлам».
Давайте выясним, как действуют современные вирусы-вымогатели (ransomware) на практике:
net stop mssqlserver
net stop SQLWriter
net stop "1C:Enterprise 8.3 Server Agent"
vssadmin delete shadows /all /quiet
*.mdf, *.ldf и файлов файловых баз 1Cv8.1CD.Классический сигнатурный антивирус часто бессилен перед такими целевыми атаками (APT), особенно если используются уязвимости нулевого дня (0-day) или легитимные административные утилиты Windows для остановки служб. Именно поэтому уповать только на антивирусную программу как на панацею от шифровальщиков категорически нельзя.
Перед тем как принимать решение об установке защитного ПО, обратимся к технической документации разработчиков платформы 1С и СУБД MS SQL Server.
Фирма «1С» указывает: постоянный мониторинг файловой системы в реальном времени (on-access сканирование) на серверах приложений 1С крайне нежелателен. Платформа в процессе работы непрерывно создает, модифицирует и удаляет тысячи временных файлов в пользовательских профилях и системных каталогах. Попытки антивируса перехватить эти операции приводят к резкому росту времени отклика системы, ошибкам разделенного доступа к файлам и аварийному завершению рабочих процессов rphost.exe. Рекомендуется использовать сканирование по запросу (on-demand) в периоды наименьшей активности пользователей.
Корпорация Microsoft указывает: сканирование файлов баз данных и транзакций MS SQL Server в реальном времени приводит к сильной деградации производительности СУБД. В современных версиях Windows Server встроенный защитник (Microsoft Defender) включен по умолчанию. Без настройки зон исключений он может замедлить операции резервного копирования и восстановления баз данных в несколько раз, а также вызвать тайм-ауты при выполнении тяжелых SQL-запросов.
Если административные регламенты вашей компании требуют обязательного наличия активного антивирусного монитора на серверах, необходимо выполнить ювелирную настройку зон исключений. Просто внести в исключения исполняемый файл sqlservr.exe недостаточно. Давайте по шагам разберем, какие именно объекты должны быть полностью закрыты от сканирования в реальном времени.
Необходимо добавить в списки исключений (как по путям, так и по маскам файлов/процессам) следующие элементы:
Процессы СУБД:
sqlservr.exe — основной исполняемый файл движка базы данных СУБД.sqlagent.exe — исполняемый файл агента службы СУБД (отвечает за выполнение регламентных заданий и бэкапов).fdhost.exe — процесс демона полнотекстового поиска (если используется).Каталоги и файлы данных:
tempdb (например, D:\SQLData\, E:\SQLLogs\).*.mdf (основной файл данных), *.ndf (вторичные файлы данных), *.ldf (журнал транзакций).*.bak и *.trn. Если антивирус будет сканировать терабайтный файл бэкапа в процессе его записи, это парализует дисковую подсистему сервера.Для стабильной работы службы сервера 1С настроим исключения по процессам, путям и типам файлов:
Процессы сервера 1С:
ragent.exe — агент сервера «1С:Предприятие».rmngr.exe — менеджер кластера серверов.rphost.exe — рабочий процесс сервера 1С. Обратите внимание, что платформа 1С динамически запускает и останавливает новые процессы rphost в зависимости от нагрузки и настроек кластера. Антивирус должен игнорировать этот исполняемый файл глобально, независимо от идентификатора запущенного процесса.dbgs.exe — процесс службы отладки (если на сервере запущена отладка).Папки и системные каталоги 1С:
C:\Program Files\1cv8\ и C:\Program Files (x86)\1cv8\ (для Linux-окружения: /opt/1C/v8.3/).C:\ProgramData\1C\. В этой папке хранятся файлы конфигурации кластера, список зарегистрированных баз данных и журнал регистрации.USR1CV8). Пути к кэшу выглядят следующим образом:
C:\Users\USR1CV8\AppData\Local\1C\1cv8\C:\Users\USR1CV8\AppData\Roaming\1C\1cv8\Temp в профиле службы 1С и системная папка C:\Windows\Temp\), так как рабочие процессы платформы активно используют их для выгрузки временных данных при работе пользователей.Специфические расширения файлов 1С:
1Cv8*.1C? — покрывает файлы файловых баз данных 1Cv8.1CD, временные файлы баз 1Cv8tmp.1CD, а также файлы блокировок 1Cv8.1CL и 1Cv8tmp.1CL.*.pfl.*.log (для нового формата журнала регистрации) и *.lgf, *.lgp (для старого формата).*.dt, *.cf, *.cfe, *.cfu.*.epf, *.erf.*.json, *.xml, *.ssf, *.usr.Давайте посмотрим на проблему шире. Установка обычного («тяжелого») антивируса — это далеко не единственный, и часто не самый эффективный способ защиты важной бизнес-информации. Проанализируем современные подходы к обеспечению безопасности серверов 1С и баз данных.
Вместо традиционных антивирусов, работа которых основана на постоянном сканировании файлов на диске по сигнатурным базам, современные ИТ-отделы развертывают системы класса EDR (Endpoint Detection and Response). Такие агенты работают иначе: они практически не нагружают дисковую подсистему чтением файлов. Вместо этого они ведут поведенческий мониторинг запущенных в операционной системе процессов. Если легитимный процесс СУБД внезапно пытается запустить командную строку, выполнить несанкционированные сетевые запросы или системная утилита Windows пытается принудительно остановить службу базы данных — EDR моментально блокирует подозрительное поведение и изолирует хост от сети, предотвращая распространение угрозы.
Проанализируем ситуацию: если злоумышленник не может достучаться до сервера из внешней сети, риск заражения стремится к нулю. Выполните следующие настройки сетевой безопасности:
1540, 1541, диапазон 1560-1591) только с IP-адресов клиентских компьютеров пользователей или терминальных серверов.1433) должен быть доступен исключительно для IP-адреса сервера приложений 1С. Прямого доступа пользователей к портам СУБД быть не должно.Ни в коем случае не запускайте службы сервера «1С:Предприятие» и службы MS SQL Server под учетной записью локального или доменного администратора. Для каждой службы должна быть создана выделенная учетная запись пользователя с минимальными правами в операционной системе (например, стандартная системная учетная запись NT Service\MSSQLSERVER или доменная учетная запись без административных прав, настроенная в режиме Managed Service Account).
Антивирус бесполезен, если злоумышленник использует критические уязвимости программного обеспечения. Регулярно проводите аудит безопасности:
Sentinel LDK License Manager (процесс hasplms.exe), если ваша организация полностью перешла на программные лицензии 1С.Единственной стопроцентной гарантией восстановления бизнеса после атаки шифровальщика является правильно организованное резервное копирование. Помните: бэкапы, которые хранятся на том же сервере или на сетевом диске (шаре), к которому у сервера есть права на запись, будут уничтожены шифровальщиком в первую очередь.
Используйте правило «3-2-1»:
Крайне важно настроить бэкапы по схеме «Pull» (когда специализированный сервер бэкапов сам забирает файлы с сервера 1С, а у сервера 1С нет никаких прав доступа к хранилищу бэкапов) или использовать неизменяемые хранилища (WORM-архивы), из которых невозможно удалить или перезаписать файлы в течение установленного времени.
Подводя итоги нашего детального разбора, сформулируем финальные рекомендации по использованию антивируса на серверах с 1С: