Утечка базы 1С: откуда уносят данные и как закрыть каждый канал

Чтобы защитить базу 1С от кражи и несанкционированного доступа, закройте четыре канала: прямой доступ к файлам базы и резервным копиям, лишние права пользователей на выгрузку, открытый сервер 1С и СУБД, и людей с доступом, который им больше не нужен. Пароль на вход в программу сам по себе почти ничего не защищает: если файл базы можно скопировать, его можно и прочитать.

Ниже по каждому каналу — как именно уходят данные и что настроить в 1С:Предприятии 8.3, Windows и СУБД. Начинать стоит с файлового варианта и копий: это самая частая и самая дешёвая утечка.

Файловая база: почему пароль 1С её не спасает

Файловая информационная база — это один файл 1Cv8.1CD в каталоге базы. Внутри него и данные, и список пользователей с паролями (в виде хешей). Программа 1С проверяет пароль при входе, но сам файл никак не зашифрован.

Что из этого следует:

• 📁 Кто может скопировать 1Cv8.1CD, тот унёс всю базу целиком: контрагентов, зарплаты, остатки, персональные данные.
• 🔓 Сторонние утилиты читают формат 1CD напрямую, минуя аутентификацию 1С. Пароль администратора базы им не нужен.
• 💾 Резервная копия базы (.dt или копия каталога) — такая же база. Флешка с копией «на всякий случай» — готовая утечка.
• 🌐 Сетевая папка с базой, открытая для «Все» или «Пользователи домена», означает, что базу может забрать любой сотрудник, а не только бухгалтерия.

Что сделать с файловым вариантом

1. Оставьте права NTFS на каталог базы только тем учётным записям, которые реально в ней работают. Группу Everyone и Пользователи домена уберите.
2. Если база лежит на общем ресурсе, разграничьте права и на уровне общей папки, и на уровне NTFS: действует более строгое из двух.
3. Работу через удалённый рабочий стол организуйте так, чтобы пользователь не видел каталог базы в проводнике. Хороший вариант — публикация приложения (RemoteApp) вместо полного рабочего стола.
4. Для удалённой работы вместо доступа к папке опубликуйте базу на веб-сервере и работайте через тонкий или веб-клиент по HTTPS. Тогда у пользователя нет пути к файлу вообще.
5. Если в базе больше 5–10 активных пользователей или много персональных данных, переходите на клиент-серверный вариант. В нём у пользователя в принципе нет файла, который можно скопировать.

Выгрузка данных через интерфейс программы

Даже без доступа к файлам данные уносят прямо из 1С. Пользователь видит список — значит, может вывести его в таблицу и сохранить в Excel. Это законная функция, и проблема не в ней, а в объёме прав.

Каналы выгрузки в самой программе:

• 📋 вывод любого списка или отчёта в табличный документ и сохранение в xlsx, pdf, mxl;
• 🧰 режим «Все функции» — доступ к любым справочникам и регистрам, включая те, которых нет в меню;
• 🧩 внешние обработки и отчёты (.epf, .erf) — в них можно написать код, который выгрузит что угодно;
• 📤 выгрузка базы целиком в .dt из конфигуратора и универсальные обработки выгрузки-загрузки XML;
• 🔁 планы обмена и синхронизация данных, настроенные «в сторону» внешней базы.

Как ограничить выгрузку в типовых конфигурациях

В БП 3.0, ЗУП 3.1, УТ 11 права раздаются через группы доступа и профили: Администрирование → Настройки пользователей и прав → Группы доступа и там же Профили групп доступа.

Уровень записей (ограничение доступа по организациям, складам, группам сотрудников) включается отдельно в разделе настроек пользователей и прав. Он заметно нагружает базу, поэтому включайте его, когда в одной базе ведётся несколько юрлиц или есть закрытые данные — например, зарплата руководства.

Защита от опасных действий

У пользователя информационной базы есть свойство «Защита от опасных действий». Когда оно включено, платформа предупреждает перед запуском внешней обработки и другими потенциально опасными операциями. Это не запрет, а предохранитель от «откройте этот файл из письма». Для обычных пользователей держите его включённым.

Сервер 1С и СУБД: где база уходит целиком

В клиент-серверном варианте файл 1Cv8.1CD исчезает, но появляются новые точки входа: консоль кластера, сервер СУБД и каталоги с резервными копиями SQL.

Сервер 1С:Предприятия

• 🔑 Администратор кластера. Пока он не назначен, любой, у кого есть консоль и сетевой доступ к агенту, может управлять кластером: создать базу, поменять её параметры, увидеть адрес сервера СУБД. Назначьте администратора кластера и администратора центрального сервера сразу после установки.
• 🧱 Сетевой доступ. Клиенты обращаются к агенту сервера (порт 1540), затем к менеджеру кластера (1541) и к рабочим процессам — их диапазон портов задан в свойствах рабочего сервера, по умолчанию 1560–1591. Откройте эти порты только для подсетей, где работают пользователи. Из интернета сервер 1С напрямую быть доступен не должен — только через VPN или публикацию на веб-сервере.
• 🛡️ Профили безопасности. В консоли кластера можно создать профиль безопасности и назначить его базе. Он ограничивает доступ кода конфигурации к файловой системе, COM-объектам, внешним компонентам и интернет-ресурсам. Это закрывает сценарий «внешняя обработка читает диск сервера».
• 🚫 Создание баз. Право создавать информационные базы на сервере оставьте только администраторам: иначе кто угодно создаст свою базу на том же сервере СУБД.

СУБД (MS SQL Server, PostgreSQL)

Логин к СУБД хранится в параметрах информационной базы в кластере. Если это sa или postgres, любой, кто узнал пароль, получает все базы сервера сразу.

1. Создайте для каждой базы отдельный логин СУБД с правами только на эту базу.
2. Учётную запись sa в SQL Server отключите или задайте ей длинный пароль, который не используется больше нигде.
3. Разрешите подключение к СУБД только с сервера 1С. В SQL Server это брандмауэр на порт 1433, в PostgreSQL — правила в pg_hba.conf и метод аутентификации scram-sha-256.
4. Каталог резервных копий SQL закройте так же, как каталог файловой базы: копия .bak читается на любом другом сервере SQL.

# pg_hba.conf — пример: к базам 1С пускаем только сервер 1С
host    all    usr1c    10.0.0.15/32    scram-sha-256
host    all    all      0.0.0.0/0       reject

Люди: инсайдеры, уволенные и «звонок из поддержки»

Большинство утечек делают не хакеры, а те, у кого доступ уже есть. Технические меры здесь работают только вместе с порядком в учётных записях.

Типовые сценарии:

• 👤 Уволенный сотрудник. Пользователь в 1С остался, пароль прежний, доступ через удалённый рабочий стол не закрыт. Через месяц он заходит и выгружает клиентскую базу для нового работодателя.
• 🧑‍💼 Общий логин. Вся бухгалтерия входит под «Бухгалтер». В журнале регистрации видно, что выгрузка была, но не видно, кто её сделал.
• 📞 Социальная инженерия. Звонок «от вашего обслуживающего партнёра 1С» с просьбой поставить программу удалённого доступа или прислать копию базы «для обновления».
• 📎 Обработка из письма. Файл .epf под видом «исправления для отчётности». Открыли с правами администратора — код выполнился с правами администратора.
• 🧑‍💻 Подрядчик. Внешнему программисту выдали полные права и копию базы, а после работ копию никто не удалил.

Что ввести в регламент:

1. Один человек — один пользователь 1С. Общих логинов нет.
2. При увольнении в тот же день снимите в карточке пользователя флаг «Вход в программу разрешён» и заблокируйте учётную запись Windows или VPN. Удалять пользователя не нужно: его история в журнале пригодится.
3. Копии базы отдаются наружу только с обезличенными данными или по договору с условием о конфиденциальности.
4. Любая просьба прислать базу или поставить удалённый доступ проверяется обратным звонком по известному номеру, а не по номеру из письма.
5. Сотрудники с доступом к персональным данным подписывают обязательство о неразглашении. Разглашение охраняемой тайны — основание для увольнения по ТК РФ, а неправомерный доступ к компьютерной информации — уголовно наказуем.

Шифрование и защита копий

Шифрование не мешает работать с базой тому, у кого есть доступ, но превращает украденный диск или копию в бесполезный набор байтов.

TDE в SQL Server доступно в редакции Enterprise, а начиная с SQL Server 2019 — и в Standard. Сертификат TDE обязательно сохраните отдельно от сервера: без него восстановить зашифрованную копию не получится даже вам.

Ключ шифрования копий и сертификат TDE храните отдельно от самих копий. Если пароль от архива лежит в текстовом файле рядом с архивом, шифрования фактически нет.

Ещё несколько правил для копий:

• 🗓️ одна копия — вне офиса или в облаке, но только зашифрованная;
• 🗑️ старые копии удаляются по сроку, а не копятся годами на общем ресурсе;
• 👥 доступ к каталогу копий — у администратора, не у всех пользователей 1С;
• 🔍 раз в квартал копию восстанавливают на тестовой машине: проверяется и сама копия, и то, что ключ не потерян.

Аутентификация: пароли, вход через Windows, ограничения

Слабый пароль администратора базы — частая причина доступа, который никто не выдавал.

В БП 3.0, ЗУП 3.1 и УТ 11 требования к паролям задаются в Администрирование → Настройки пользователей и прав → Настройки входа. Там можно включить проверку сложности, минимальную длину, срок действия пароля и отключение неактивных пользователей через заданное число дней.

Варианты входа:

• 🪪 Аутентификация 1С — логин и пароль внутри базы. Пароль задавайте не короче 10–12 символов, не совпадающий с паролем Windows.
• 🖥️ Аутентификация операционной системы — вход по доменной учётке Windows. Удобна в домене: уволили в Active Directory — входа в 1С нет. Пароль 1С при этом отключите, чтобы не было обходного пути.
• 🚪 Без пароля — недопустимо для любой базы с реальными данными. Пустой пароль у пользователя «Администратор» — первое, что проверяет посторонний.

Журнал регистрации и мониторинг: как заметить утечку

Защиту без контроля не проверишь. Журнал регистрации показывает, кто, когда и с какого компьютера входил и что менял. Открывается он в Администрирование → Обслуживание → Журнал регистрации.

Какие события смотреть

Отбирайте записи по пользователю и интервалу: журнал большой, без отбора нужное не найти. Колонка «Компьютер» показывает имя машины — по ней видно, что «Петрова» вошла с ноутбука, которого в офисе нет.

Чтобы журнал не исчез вместе с уликами

1. Уровень регистрации задаётся в конфигураторе: Администрирование → Настройка журнала регистрации. Для базы с персональными данными оставьте регистрацию всех событий.
2. Журнал хранится в каталоге 1Cv8Log внутри каталога базы (в серверном варианте — на сервере 1С). Тот, кто может удалить базу , может удалить и журнал. Копируйте журнал на другой сервер регулярно, например вместе с резервной копией.
3. Для серверных баз дополнительно настройте технологический журнал — файл logcfg.xml в каталоге conf платформы. Он фиксирует события на уровне сервера, но быстро растёт, поэтому задавайте срок хранения.
4. Назначьте человека, который раз в неделю смотрит входы в нерабочее время и изменения пользователей. Пятнадцать минут в неделю ловят большинство инсайдерских сценариев.

Частые вопросы