Как защитить базу 1С, опубликованную на веб-сервере IIS?

Публикация базы 1С:Предприятия на веб-сервере Microsoft IIS позволяет пользователям подключаться через браузер или тонкий клиент из любой точки. Однако при открытии прямого доступа из интернета сервер моментально становится объектом автоматического сканирования, попыток подбора паролей и сетевых атак. Рассмотрим комплексный подход к защите опубликованной информационной базы, разберем основные сетевые архитектурные решения и параметры безопасности на стороне IIS и самой платформы 1С.

Вариант 1. Изоляция сервера через VPN-туннель

Самым надежным способом защиты является полное сокрытие веб-сервера от публичного интернета. В этом случае веб-сервис физически не принимает соединения от непроверенных узлов сети.

Разберем по шагам, как устроен этот подход:

1. Разворачиваем VPN-сервер. В операционной системе Windows Server можно использовать встроенную роль удаленного доступа или специализированные решения сторонних разработчиков.
2. С помощью брандмауэра Windows (Windows Defender Firewall) закрываем все входящие порты веб-сервера (80 и 443) для внешнего сетевого интерфейса. Доступ к IIS разрешаем только из внутренней виртуальной сети VPN.
3. Клиенты предварительно подключаются к корпоративному VPN-соединению, вводя учетные данные туннеля, и только после этого открывают веб-клиент по локальному адресу сервера.

Преимущества подхода: веб-сервер снаружи полностью невидим для сетевых сканеров. Создается двухфакторный барьер защиты: даже в случае перехвата пароля пользователя базы данных злоумышленник не сможет подключиться к серверу без действующего профиля VPN.

Вариант 2. Ограничение доступа по статическим IP-адресам

Если развертывание полноценного VPN-решения избыточно, но удаленные точки подключения (филиалы, склады, домашние офисы ключевых сотрудников) обладают постоянными статическими белыми IP-адресами, применим фильтрацию на сетевом уровне.

Проанализируем шаги реализации:

1. Открываем правила брандмауэра для входящих подключений на веб-сервере.
2. Находим правило для протоколов HTTP/HTTPS (порты 80 и 443).
3. Во вкладке свойств правила переходим в раздел сетевых адресов и в поле разрешенных удаленных адресов указываем точный перечень внешних IP-адресов доверенных клиентов.
4. Все остальные пакеты из внешней сети отбрасываются брандмауэром без ответа.

Ограничение: этот способ не подходит для мобильных пользователей и провайдеров с динамическим распределением IP-адресов.

Вариант 3. Использование защищенного протокола HTTPS и SSL/TLS-сертификатов

Передача учетных данных и трафика базы 1С по открытому протоколу HTTP недопустима, так как данные передаются в открытом виде и могут быть перехвачены. Настройка защищенного канала HTTPS обязательна при любой публикации.

Рассмотрим порядок защиты трафика:

1. Выпускаем и устанавливаем доверенный SSL/TLS-сертификат на сервер IIS.
2. Привязываем сертификат к сайту с портом 443 в диспетчере служб IIS.
3. Включаем автоматическое перенаправление всех HTTP-запросов на защищенный протокол HTTPS.
4. Для максимального уровня безопасности разберем настройку двустороннего TLS (mTLS): в параметрах SSL сайта IIS активируем требование клиентских сертификатов (Client Certificates -> Require). В таком сценарии веб-сервер прерывает соединение с клиентом до этапа передачи учетных данных 1С, если на устройстве пользователя не установлен персональный сертификат доступа.

Вариант 4. Настройка безопасности веб-сервера IIS и прав доступа

Помимо сетевых экранов, важно изолировать процессы веб-сервера на уровне операционной системы. Рассмотрим ключевые параметры безопасности пулов приложений и файлов публикации:

1. Изоляция пулов приложений: каждую опубликованную информационную базу публикуем в отдельном пуле приложений IIS (Application Pool). Пул должен запускаться от имени встроенной учетной записи ApplicationPoolIdentity либо выделенного системного пользователя с минимальными правами, исключая использование учетных записей LocalSystem и NetworkService.
2. Защита дескриптора публикации: файл публикации default.vrd содержит точные параметры подключения к кластеру или базе данных. Права доступа NTFS к каталогу с этим файлом выдаются исключительно администраторам и сервисной учетной записи рабочего пула IIS. Чтение файла остальными пользователями запрещается.
3. Фильтрация HTTP-глаголов: для работы веб-клиента 1С:Предприятия требуются только стандартные методы GET, POST и HEAD. Все прочие запросы (например, PUT, DELETE, TRACE) отключаем через модуль Request Filtering в IIS.
4. Отключение информационных заголовков: выключаем передачу служебных заголовков Server и X-Powered-By, чтобы скрыть версию веб-сервера от ботов-сканеров.
5. Защита от перебора паролей: подключаем встроенный модуль IIS Dynamic IP Restrictions, который автоматически блокирует адреса при превышении лимита параллельных обращений или частых ошибках авторизации.

Вариант 5. Параметры безопасности внутри информационной базы 1С

Финальным контуром безопасности выступает конфигурация самой платформы 1С:Предприятие. Даже если веб-сервер опубликован наружу, защита учетных записей должна быть максимальной.

Выполним следующие настройки в информационной базе:

1. Отключение списка пользователей: в конфигураторе для всех учетных записей отключаем флаг отображения в списке при входе. Пользователь обязан вручную вводить имя и пароль, что предотвращает утечку списка логинов.
2. Политика надежных паролей: задаем обязательные требования к длине и сложности паролей, а также устанавливаем лимит неверных попыток ввода, после которых учетная запись временно блокируется.
3. Двухфакторная аутентификация: включаем встроенную функциональность 2FA платформы 1С с подтверждением входа через TOTP-коды в мобильных приложениях.
4. Таймауты сеансов: настраиваем автоматический разрыв неактивных сеансов в файле default.vrd или в параметрах базы, чтобы открытый сеанс не оставался уязвимым при отсутствии пользователя на рабочем месте.
5. Разделение веб-сервисов и интерфейса: если база используется для программного обмена (HTTP-сервисы, Web-сервисы), разносим публикацию пользовательского веб-клиента и интеграционных сервисов по разным URL-адресам и каталогам публикации, отключая веб-клиент на служебных адресах обмена.

Важное ограничение: для безопасной веб-публикации следует использовать исключительно клиент-серверный режим работы (на базе СУБД и кластера серверов 1С). Файловые базы данных при публикации через IIS требуют выдачи широких прав доступа к папке с файлом базы учетной записи веб-сервера, что при компрометации IIS создает прямую угрозу хищения или повреждения всего файла базы данных.