Кто, когда и что менял в базе: разбираем следы пользователей 1С

Проверить действия в 1С можно в журнале регистрации: в БП 3.0, ЗУП 3.1 и УТ 11 он открывается через Администрирование → Обслуживание → Журнал регистрации, в любой конфигурации — через Все функции → Стандартные → Журнал регистрации. Поставьте отбор по пользователю, периоду и событию Данные. Изменение — и увидите, кто правил документ и в какую минуту.

Частое заблуждение: «журнал покажет, какую сумму поменяли». Не покажет. Он фиксирует сам факт записи объекта, автора, компьютер и время. Старое и новое значение реквизитов хранит другой механизм — история изменений (версионирование объектов). Для полноценного аудита нужны оба, и второй включают заранее.

Что фиксирует журнал регистрации 1С и чего в нём нет

Журнал регистрации ведёт сама платформа 1С:Предприятие 8.3, а не конфигурация. Поэтому он есть в любой базе: типовой, доработанной, самописной.

Каждая запись содержит:

• 🕒 дату и время события с точностью до секунды;
• 👤 имя пользователя информационной базы;
• 💻 имя компьютера и тип приложения (тонкий клиент, веб-клиент, Конфигуратор, фоновое задание, COM-соединение);
• 📄 событие и объект: какой документ или элемент справочника записан, проведён, удалён;
• ⚠️ уровень важности: информация, предупреждение, ошибка, примечание;
• 💬 комментарий — текст ошибки или пояснение, которое пишет конфигурация.

Основные события, по которым проверяют работу людей:

Чего в журнале нет: значений реквизитов до и после правки, просмотров документов без записи, печати (если конфигурация не пишет её сама). Пометка на удаление выглядит как обычное изменение объекта.

Как настроить регистрацию событий, чтобы было что проверять

Настройка делается в Конфигураторе: Администрирование → Настройка журнала регистрации. Права на это нужны административные.

Уровень регистрации

Выберите, что писать:

1. «Не регистрировать» — журнал пуст. Встречается на скопированных базах и после неудачных экспериментов.
2. «Регистрировать ошибки» — только сбои.
3. «Регистрировать ошибки и предупреждения».
4. «Регистрировать ошибки, предупреждения и информацию».
5. «Регистрировать все события» — нужен для аудита действий.

Для проверки действий пользователей ставьте «Регистрировать все события». На уровнях ниже события записи данных и входов в журнал не попадут.

Разделение по периодам и сокращение

В той же форме задаётся разделение журнала по периодам: по дням, месяцам, годам. Для базы на 20–50 активных пользователей разумно делить по месяцам — файлы остаются небольшими, отбор работает быстрее.

Кнопка «Сократить…» удаляет записи старше указанной даты. Перед удалением можно сохранить их в файл. Сначала решите, сколько хранить: если служба безопасности или аудиторы спрашивают за три года, не сокращайте журнал до года.

История изменений объектов

Это второй слой аудита, его даёт БСП, а не платформа. В БП 3.0 и ЗУП 3.1 включается в Администрирование → Общие настройки, флажок «Хранить историю изменений». Там же по ссылке настройки выбирают, какие документы и справочники версионировать.

После включения в форме объекта, в меню «Ещё», появляется команда истории изменений. Она показывает все версии и позволяет сравнить две из них: какой реквизит, какая строка табличной части и какое значение было.

Как проверить действия пользователя: отбор и чтение записей

Откройте журнал любым из способов:

• в типовой конфигурации: Администрирование → Обслуживание → Журнал регистрации;
• в любой базе: Все функции → Стандартные → Журнал регистрации. Если пункта «Все функции» нет, включите его в Сервис и настройки → Параметры, флажок «Отображать команду “Все функции”»;
• в Конфигураторе: Администрирование → Журнал регистрации.

Пошаговый разбор конкретной правки

Пример: в остатках 51 счёта расхождение, подозрение на правку платёжки за прошлый квартал.

1. Нажмите кнопку отбора в командной панели журнала.
2. Задайте интервал: например, с 1 по 31 число текущего месяца — правки задним числом делаются сейчас, а не в квартале документа.
3. В поле событий оставьте Данные. Изменение, Данные. Проведение, Данные. Отмена проведения, Данные. Удаление.
4. В поле метаданных выберите нужный тип документа, например «Списание с расчётного счёта».
5. Примените отбор. Найдите строку с нужным документом в колонке данных.
6. Откройте запись двойным щелчком: в ней видны пользователь, компьютер, приложение и сеанс.
7. Если включена история изменений — откройте документ и сравните последнюю версию с предыдущей.

Приёмы, которые экономят время

• 🔎 Отбор по колонке «Данные» с конкретной ссылкой. Выделите документ в записи журнала и отфильтруйте по нему — получите всю его биографию.
• 🧩 Отбор по сеансу. Нашли подозрительную правку — отфильтруйте по номеру этого сеанса и посмотрите, что ещё пользователь делал за тот же заход.
• 🖥️ Отбор по компьютеру. Если два сотрудника работают под одним именем, компьютер их различит.
• 📤 Выгрузка в табличный документ или файл, чтобы показать результат руководителю без доступа к базе.

Отчёт для анализа активности

В типовых конфигурациях на БСП есть отчёт «Анализ журнала регистрации». Ищите его в разделе Администрирование → Обслуживание среди отчётов администратора. Отчёт строит сводку: кто сколько работал, сколько записей сделал за период, как долго шли регламентные задания. Для вопроса «кто вообще трогает базу по ночам» он нагляднее сырого журнала.

Анализ журнала кодом и SQL-запросами

Когда записей сотни тысяч, а вопросов много, ручной отбор тормозит. Есть два пути.

Выгрузка встроенным языком

Метод ВыгрузитьЖурналРегистрации складывает записи в таблицу значений с заданным отбором. Пример: все неудачные попытки входа за последние сутки.

Отбор = Новый Структура;
Отбор.Вставить("ДатаНачала", ТекущаяДатаСеанса() - 86400);
Отбор.Вставить("ДатаОкончания", ТекущаяДатаСеанса());
Отбор.Вставить("Событие", "_$Session$_.AuthenticationError");

Записи = Новый ТаблицаЗначений;
ВыгрузитьЖурналРегистрации(Записи, Отбор);

Для Каждого Строка Из Записи Цикл
    Сообщить(СтрШаблон("%1 | %2 | %3",
        Строка.Дата, Строка.Компьютер, Строка.Комментарий));
КонецЦикла;

Внутренние имена событий: _$Session$_.Start — вход, _$Data$_.New — добавление, _$Data$_.Update — изменение, _$Data$_.Delete — удаление. Код выполняется на сервере и требует права на чтение журнала регистрации.

Запросы к файлу журнала

Начиная с 8.3.5 журнал по умолчанию хранится в одном файле 1Cv8.lgd. Это база SQLite, её можно открыть любым SQLite-клиентом.

Где лежит файл:

Старый текстовый формат — файлы .lgf и .lgp — тоже встречается на базах, которые переносили со старых платформ. SQL к нему не применить.

Работайте только с копией файла. Правка или блокировка рабочего .lgd может повредить журнал.

Сначала посмотрите структуру: в консоли sqlite3 команды .tables и .schema EventLog. Таблица EventLog хранит записи, а имена пользователей, событий и компьютеров вынесены в справочные таблицы с кодами (UserCodes, EventCodes, ComputerCodes). Дата хранится числом — десятитысячными долями секунды от 1 января 0001 года.

Пример: сколько записей сделал каждый пользователь.

SELECT u.name AS user,
       COUNT(*) AS records,
       datetime(MAX(e.date) / 10000 - 62135596800, 'unixepoch') AS last_event
FROM EventLog e
JOIN UserCodes u ON u.code = e.userCode
GROUP BY u.name
ORDER BY records DESC;

Если имена колонок в вашей версии отличаются, сверьтесь с выводом .schema — запрос легко поправить под неё.

Почему журнал не показывает нужное: частые проблемы

Ещё одна ловушка — повреждённый журнал после аварийного отключения сервера. Платформа может перестать показывать часть записей. Восстановить файл лучше из резервной копии каталога 1Cv8Log, поэтому включите этот каталог в регулярный бэкап сервера.

Автоматический контроль и оповещения о подозрительных действиях

Ручная проверка хороша для расследования. Для профилактики нужен регулярный контроль.

Что стоит отслеживать автоматически:

• 🔐 серии ошибок аутентификации — больше 5 подряд с одного компьютера;
• 🌙 входы в нерабочее время и в выходные;
• 🗑️ физическое удаление документов (Данные. Удаление);
• 📅 изменение документов в закрытом периоде;
• 👥 правку пользователей и ролей.

Как это собрать

1. Создайте расширение конфигурации , чтобы не трогать типовую.
2. Добавьте в него регламентное задание с расписанием, например каждый час.
3. В обработчике задания выгружайте журнал методом ВыгрузитьЖурналРегистрации с отбором за последний час и нужными событиями.
4. Проверяйте условия: число записей, время, пользователя.
5. При срабатывании отправляйте письмо через учётную запись электронной почты или сообщение в мессенджер через HTTP-запрос.

Последнюю обработанную дату храните в константе или регистре сведений расширения. Иначе при сбое задания часть событий выпадет из контроля, а часть уйдёт дважды.

Для изменений в закрытом периоде у типовых конфигураций есть свой инструмент — дата запрета изменения данных в Администрирование → Общие настройки. Запрет лучше контроля: правку просто не дадут записать.

Если нужно доказать факт правки

Проверку действий часто запускают из-за конфликта: недостача, спорный платёж, уволенный сотрудник. Тогда важна не только находка, но и её сохранность.

• 📁 Выгрузите записи журнала за период в файл сразу, до сокращения журнала.
• 🧾 Сохраните версии документа из истории изменений в табличный документ.
• 🗄️ Сделайте копию каталога 1Cv8Log и зафиксируйте её дату.
• 👤 Запишите, кто проводил проверку и когда, — пригодится, если результаты будут оспаривать.

Помните об ограничении: журнал показывает учётную запись, а не человека. Если пароль знали несколько сотрудников, вывод «правил именно Иванов» журнал не доказывает. Его подкрепляют данными о компьютере, графиком работы, записями СКУД.

Частые вопросы