Как устроен защищённый режим 1С 8.3 и что ещё закрыть, чтобы база пережила атаку

Защита от опасных действий в 1С — это механизм платформы 8.3 (появился в версии 8.3.9), который показывает предупреждение и просит подтверждения, прежде чем выполнить потенциально вредный код: открыть внешний отчёт или обработку из файла, подключить расширение без безопасного режима, выполнить обработку из командной строки. Включается она флагом в свойствах пользователя информационной базы, а для всего компьютера её можно отключить параметром DisableUnsafeActionProtection в файле conf.cfg.

Сам по себе этот флаг — только первый рубеж. Чтобы база реально была в безопасности, к нему добавляют права на роли, блокировку сеансов на время инцидента, правильную настройку антивируса на сервере и журнал регистрации. Всё это разобрано по порядку, с путями меню для платформы 8.3 и типовых конфигураций на БСП (Бухгалтерия 3.0, ЗУП 3.1, УТ 11).

Как работает защищённый режим запуска в 1С 8.3

Пользователи часто называют этот механизм «защищённым режимом» или «режимом защищённого приложения». В документации платформы он называется защитой от опасных действий. Суть простая: перед рискованной операцией 1С показывает окно с предупреждением о безопасности. Пользователь должен осознанно согласиться или отказаться.

Что платформа считает опасным действием

• 📂 открытие внешнего отчёта или обработки (.erf, .epf) через Файл → Открыть;
• 🧩 подключение расширения конфигурации , у которого снят флаг «Безопасный режим»;
• ⌨️ запуск базы с параметром /Execute, который сразу выполняет внешнюю обработку ;
• 🔌 другие сценарии, где в базу попадает код, которого нет в самой конфигурации.

Внешняя обработка — обычный файл. Его могут прислать по почте под видом «акта сверки» или «новой печатной формы». Внутри может оказаться код, который удаляет документы, выгружает базу или запускает программу на компьютере. Предупреждение даёт человеку шанс остановиться.

Где включается флаг для пользователя

В Конфигураторе:

1. Откройте Администрирование → Пользователи.
2. Дважды щёлкните по пользователю.
3. На вкладке «Основные» найдите флаг «Защита от опасных действий».
4. Установите или снимите его и нажмите «ОК».

В типовых конфигурациях на БСП то же самое делают в режиме Предприятия: Администрирование → Настройки пользователей и прав → Пользователи, карточка пользователя. Флаг находится в блоке свойств входа в программу. Изменения применяются при следующем входе этого пользователя.

Как отключить защиту программно или для всего компьютера

Иногда предупреждение мешает: например, регламентная обработка запускается по расписанию с параметром /Execute, и никто не нажмёт «Да». Для таких случаев есть два способа.

Способ 1. Файл conf.cfg. Он лежит в каталоге bin\conf установленной платформы, например C:\Program Files\1cv8\8.3.2x.xxxx\bin\conf\conf.cfg. Добавьте строку:

DisableUnsafeActionProtection=.*Srvr="srv1c".*Ref="buh_test".*

Значение — регулярное выражение по строке соединения с базой. Защита отключается только для баз, чья строка соединения совпала с шаблоном. Шаблон .* отключит её для всех баз на этом компьютере.

Способ 2. Код на встроенном языке (выполняется под администратором, например во внешней обработке):

Пользователь = ПользователиИнформационнойБазы.НайтиПоИмени("Обмен");
Если Пользователь <> Неопределено Тогда
    Описание = Новый ОписаниеЗащитыОтОпасныхДействий;
    Описание.ПредупреждатьОбОпасныхДействиях = Ложь;
    Пользователь.ЗащитаОтОпасныхДействий = Описание;
    Пользователь.Записать();
КонецЕсли;

Если базу атакуют: экстренная блокировка входа

Признаки атаки обычно видны быстро: документы массово помечаются на удаление, в журнале регистрации появляются входы под чужими именами, файлы на сервере получают странные расширения. В этот момент задача одна — перекрыть доступ, не повредив данные.

Шаг 1. Запретите новые сеансы

Через программу (БСП). Администрирование → Обслуживание → Блокировка работы пользователей. Укажите текст сообщения, время начала и код разрешения. Установите блокировку. Новые входы прекратятся, активным пользователям покажут предупреждение.

Через консоль кластера (клиент-серверный вариант). Откройте свойства информационной базы и установите:

• флаг «Блокировка начала сеансов включена»;
• сообщение о блокировке и код разрешения;
• флаг «Блокировка регламентных заданий включена» — если подозрение на задание, которое портит данные.

Администратор сможет войти, указав код разрешения в параметре запуска /UC<код>.

Шаг 2. Завершите активные сеансы

В консоли кластера раскройте базу → «Сеансы», выделите подозрительные и удалите их. Сеансы оборвутся без сохранения: несохранённые документы пользователей пропадут. Если позволяет время, сначала предупредите людей по телефону или в мессенджере.

Шаг 3. Изолируйте источник

• 🔑 смените пароль пользователя, под которым шла атака, и снимите с него роли;
• 🌐 если доступ шёл через веб-публикацию или RDP — временно закройте их на межсетевом экране;
• 💾 не восстанавливайте копию поверх рабочей базы, пока не поняли, что именно изменено: сначала выгрузите текущее состояние в отдельный файл .dt.

Права и роли: кому что можно открывать

Защита от опасных действий спрашивает пользователя. Права доступа решают за него: если права нет, внешний файл просто не откроется.

Какие права платформы отвечают за безопасность

В типовых конфигурациях роль «Полные права» содержит всё сразу. У бухгалтера роли «Полные права» быть не должно.

Как раздать права в типовой конфигурации

1. Администрирование → Настройки пользователей и прав → Группы доступа (или «Профили групп доступа»).
2. Создайте профиль, например «Бухгалтер без внешних файлов», на основе подходящего типового.
3. Проверьте, что в нём нет роли интерактивного открытия внешних отчётов и обработок.
4. Включите пользователей в группу доступа с этим профилем.

Нужную печатную форму или обработку администратор подключает один раз как дополнительную: Администрирование → Печатные формы, отчёты и обработки → Дополнительные отчёты и обработки. Тогда бухгалтер пользуется ею из меню программы, а открывать файлы с диска ему не нужно.

Настройки входа и пароли

В Администрирование → Настройки пользователей и прав → Настройки входа задайте требования к паролю: минимальную длину, сложность, срок действия. Для сотрудников в домене удобнее аутентификация операционной системы: пароль от 1С не хранится в заметках на мониторе.

Профили безопасности кластера

Для клиент-серверной базы есть ещё один уровень — профили безопасности. Их создают в консоли кластера (узел «Профили безопасности») и указывают в свойствах информационной базы. Профиль ограничивает, к каким каталогам, COM-объектам, внешним компонентам и интернет-адресам может обращаться код базы. Это закрывает сценарий, когда вредная обработка пытается прочитать файлы сервера или запустить программу.

Антивирус на сервере 1С: что исключить и что оставить

Антивирус нужен на сервере 1С обязательно. Но если он проверяет каждый файл базы при каждом обращении, сервер тормозит, а иногда появляются ошибки блокировки файлов. Решение — исключения для рабочих каталогов, а не отключение антивируса.

Что добавить в исключения проверки «на лету»

Исполняемые файлы платформы (ragent.exe, rmngr.exe, rphost.exe) можно добавить в доверенные процессы. Каталог bin с самими программами при этом лучше оставить под защитой.

Чего не делать

• ❌ не отключайте антивирус целиком «ради скорости»;
• ❌ не открывайте папку с базой в общий доступ на запись для всех;
• ❌ не храните резервные копии на том же диске и в той же сетевой папке, что и база: шифровальщик зашифрует их вместе.

Против шифровальщиков лучше всего работает клиент-серверный вариант. Пользователям не нужен сетевой доступ к файлам базы — они работают через сервер 1С. Для файловой базы ограничьте права на общую папку только теми, кто реально работает в программе.

Журнал регистрации: как найти, кто и что сделал

Журнал регистрации — главный инструмент разбора инцидентов. Он фиксирует входы, ошибки аутентификации, изменения данных, запуск внешних обработок и действия администратора.

Где открыть журнал

• в типовых конфигурациях: Администрирование → Обслуживание → Журнал регистрации;
• в Конфигураторе: Администрирование → Журнал регистрации.

Отбор по пользователю, событию, периоду и компьютеру задают кнопкой отбора в форме журнала. Для разбора атаки начните с событий аутентификации и с изменений данных за нужный час.

Как настроить детализацию

В Конфигураторе: Администрирование → Настройка журнала регистрации. Здесь выбирают уровень:

1. Не регистрировать.
2. Регистрировать ошибки.
3. Ошибки и предупреждения.
4. Ошибки, предупреждения и информацию.
5. Регистрировать все события.

Для рабочей базы, где важна безопасность, ставьте «Регистрировать все события». Там же задают периодичность разбиения журнала на файлы: по дням, месяцам или годам.

Что искать после инцидента

• 🔍 серия неудачных входов подряд — подбор пароля;
• 🔍 вход под пользователем в нерабочее время или с незнакомого компьютера;
• 🔍 массовое изменение или пометка на удаление документов за короткий период;
• 🔍 изменение списка пользователей или их ролей;
• 🔍 запуск внешней обработки, которой нет в справочнике дополнительных обработок.

Для глубокой диагностики есть технологический журнал платформы. Его включают файлом logcfg.xml. Это инструмент для специалиста: он пишет много данных и без фильтров быстро занимает место на диске.

Когда защита мешает: как работать без ущерба для безопасности

Типичная жалоба: «Каждый раз при открытии печатной формы вылезает предупреждение, бухгалтеры жмут «Да» не глядя». Это хуже, чем отсутствие защиты: человек привыкает соглашаться.

Правильный путь — убрать причину, а не предупреждение:

• 📌 печатные формы, отчёты и обработки, которыми пользуются регулярно, подключите как дополнительные в программе;
• 📌 расширения от проверенного разработчика подключайте с безопасным режимом, если они не требуют лишних прав;
• 📌 для регламентных запусков с /Execute заведите отдельного пользователя и отключите защиту только ему;
• 📌 для тестовой базы отключите защиту через conf.cfg по шаблону с именем именно этой базы.

Частые вопросы