Метка: Безопасность

Со временем на любом проекте накапливаются учётные записи с избыточными правами — уволенный сотрудник с активным доступом, разработчик, получивший временный административный доступ для конкретной задачи и так и не лишённый его после завершения. Разберём, как провести аудит прав доступа на сайте 1С-Битрикс. Инвентаризация учётных записей с административными правами <?php use Bitrix\Main\UserTable; $admins = UserTable::getList([ ‘select’ => [‘ID’, ‘LOGIN’, ‘EMAIL’, ‘LAST_LOGIN’,…

Веб-антивирус — модуль проактивной защиты, регулярно сканирующий файлы сайта на предмет изменений и подозрительного кода. Разберём, что он реально делает, когда его стоит включать и на что он не способен, чтобы не полагаться на него как на единственную меру защиты. Что сканирует веб-антивирус Модуль периодически проверяет файлы сайта на совпадение с сигнатурами известного вредоносного кода (веб-шеллы, бэкдоры, внедрённые скрипты для…

Bitrix\Main\Engine\Controller — штатный способ обрабатывать AJAX-запросы в новом ядре 1С-Битрикс. Вместо самописного файла с подключением пролога вы описываете класс с методами-действиями, а ядро берёт на себя проверку токена, разбор параметров и формирование ответа. Разберём устройство контроллера, систему фильтров, возврат ошибок и способы вызова с фронтенда. Обзор остальных подходов к AJAX есть в статье AJAX в Битрикс. Минимальный контроллер <?php //…

Проактивная защита — встроенный модуль безопасности 1С-Битрикс, анализирующий запросы к сайту на признаки атак: SQL-инъекции, попытки обхода авторизации, подбор паролей, загрузку вредоносных файлов. Включается почти всё одной галочкой, но именно поэтому чаще всего настраивается небрежно — либо выключается целиком при первой же ложной блокировке, либо остаётся на настройках по умолчанию, которые не всегда подходят конкретному сайту. Из чего состоит модуль…

Nginx для сайта на 1С-Битрикс настраивается не совсем так, как для типового PHP-проекта. У Битрикс есть служебные пути, которые нужно закрыть, механизм композитного кеша, требующий отдельного правила, и обработчик обмена с 1С, которому нужны увеличенные лимиты. Разберём рабочую конфигурацию по блокам и объясним, зачем нужен каждый — чтобы конфиг не копировался вслепую. Базовая структура server { listen 80; server_name site.ru…

Значительная часть реальных взломов сайтов на 1С-Битрикс происходит не через сложные уязвимости нулевого дня, а через давно закрытые разработчиком дыры в версиях, которые администратор просто не успел обновить. Разберём, как отслеживать обновления безопасности и выстроить процесс, который не полагается на память и на «как-нибудь потом». Уведомления об обновлениях в самой панели Раздел Настройки → Обновление продукта показывает список доступных обновлений…

DDoS-атака на уровне приложения выглядит иначе, чем классическая сетевая атака, и требует других мер защиты. Разберём, что 1С-Битрикс и хостинг реально могут сделать против атаки на уровне HTTP-запросов, и почему полноценная защита начинается за пределами самого сайта. Два разных уровня DDoS Сетевая атака (переполнение канала, SYN-флуд) обрабатывается на уровне провайдера или CDN и не решается настройками самого сайта — для…

Перебор паролей — один из самых массовых видов автоматических атак на форму входа. Разберём штатную защиту 1С-Битрикс от подбора пароля: как она настроена по умолчанию, что стоит донастроить вручную и почему одной этой меры недостаточно без двухфакторной аутентификации. Штатная блокировка после серии неудачных попыток В настройках проактивной защиты (Настройки → Инструменты разработчика → Проактивная защита → Веб-антивирус и раздел, отвечающий…

Стандартный адрес /bitrix/admin/ — первое, что пробуют автоматические сканеры и боты при переборе учётных данных. Смена адреса административной панели не заменяет полноценную защиту, но заметно снижает фоновый шум от массовых автоматических атак. Разберём, как это сделать штатными средствами и какие подводные камни есть у этого способа. Штатная настройка через проактивную защиту В разделе Настройки → Инструменты разработчика → Проактивная защита…

Пароль администратора — единственное, что отделяет посторонних от полного доступа к сайту. Его можно подобрать, украсть вредоносной программой, получить из утечки другого сервиса, где использовался тот же пароль. Двухфакторная аутентификация закрывает все эти сценарии сразу: даже зная пароль, войти без второго фактора невозможно. Разберём, как она устроена в 1С-Битрикс, как включить и что делать, если доступ всё-таки потерян. Как это…