Безопасность информационной базы 1С: права, сервер, СУБД и резервные копии

Чтобы защитить базу 1С от вирусов и взлома, нужны пять слоёв сразу: личные учётные записи с минимальными правами, администратор кластера и закрытые порты на сервере, отдельный пользователь СУБД вместо sa или postgres, резервные копии по схеме 3-2-1 с одной копией вне сети и ежедневный взгляд в журнал регистрации. Ни один слой по отдельности базу не спасёт: шифровальщик проходит мимо паролей 1С, а утёкший пароль администратора обходит любой антивирус.

Пути меню даны для типовых конфигураций на БСП — 1С:Бухгалтерии 3.0, ЗУП 3.1, УТ 11. Серверная часть одинакова для любой конфигурации на платформе 8.3.

Пользователи, роли и группы доступа в 1С

Взлом базы чаще всего начинается не с эксплойта, а с общего логина «Бухгалтер» без пароля или с пользователя, у которого «Полные права» «на всякий случай».

Что навести в порядок в первую очередь

• 👤 Одна учётная запись — один человек. Общие логины не дают понять по журналу, кто удалил документ.
• 🔑 Пароль у каждого, включая директора и «временного» аудитора.
• 🛡️ «Полные права» — у 1-2 администраторов. Бухгалтеру хватает профиля «Бухгалтер», кадровику — «Кадровик».
• 🚪 Уволенных отключать в день увольнения. Не удалять, а снимать флажок «Вход в программу разрешён», чтобы сохранилась история в журнале.

Где это настраивается

В типовых конфигурациях права выдаются не ролями напрямую, а через профили и группы доступа:

1. Откройте Администрирование → Настройки пользователей и прав.
2. В разделе Группы доступа создайте группы под реальные должности и включите в них пользователей.
3. Каждой группе назначьте профиль. Если типового профиля мало, скопируйте ближайший и уберите лишние роли — правка поставляемого профиля потеряется при обновлении.
4. Там же, в Настройках входа, включите требование сложного пароля, задайте минимальную длину (8-12 символов) и срок действия пароля.

Защита от опасных действий

В свойствах пользователя в Конфигураторе (Администрирование → Пользователи) есть флажок «Защита от опасных действий». При нём платформа предупреждает, прежде чем открыть внешнюю обработку или выполнить другое потенциально опасное действие. Для обычных сотрудников флажок держите включённым.

Отдельно проверьте право «Интерактивное открытие внешних обработок» и «Интерактивное открытие внешних отчётов». Если оно есть у всех, любой файл .epf, присланный «от поддержки», запустится с правами сотрудника.

Вход через учётную запись Windows

Аутентификация операционной системы избавляет от второго пароля и позволяет блокировать доступ одним действием в Active Directory. Пароль 1С при этом лучше отключить, иначе останутся две двери вместо одной.

Защищаем сервер 1С и сетевой периметр

Второй слой — сам сервер. Здесь ошибки тяжелее: доступ к консоли кластера даёт права на все базы сразу.

Администратор кластера и администратор базы

Сразу после установки у кластера нет администратора. Любой, кто дотянется до порта агента, откроет консоль и сможет удалить базу из кластера, завершить сеансы или прочитать параметры подключения к СУБД.

1. В консоли администрирования серверов откройте Администраторы у центрального сервера и у кластера.
2. Добавьте учётную запись с паролем или с аутентификацией Windows.
3. Повторите для каждого кластера, если их несколько.

Пароль администратора кластера храните в менеджере паролей, а не в текстовом файле на сервере: если его потерять, восстановление потребует остановки службы и возврата файлов настроек кластера из резервной копии.

Учётная запись службы

Служба агента сервера 1С должна работать от отдельного пользователя (по умолчанию USR1CV8), а не от Локальная система и не от доменного администратора. Этому пользователю нужны права на каталог кластера (srvinfo) и на каталог временных файлов — не больше.

Если шифровальщик или вредоносная внешняя обработка выполнится на сервере, она получит права именно этой учётной записи.

Порты и брандмауэр

Клиенты подключаются к агенту, затем к менеджеру кластера и рабочим процессам. Откройте ровно эти порты и только для подсети пользователей и терминального сервера:

Терминальный сервер и RDP

Большинство атак шифровальщиков на 1С идут через RDP с подобранным паролем. Минимум:

• 🔒 RDP только через VPN или шлюз удалённых рабочих столов;
• 🧱 блокировка учётной записи после 5-10 неудачных попыток входа;
• 🚫 у пользователей терминала нет прав локального администратора;
• 📦 публикация только 1cestart.exe через RemoteApp вместо полного рабочего стола, если сотрудникам больше ничего не нужно.

Профили безопасности кластера

Для баз, где запускают внешние обработки, в консоли кластера можно создать профиль безопасности и назначить его базе. Профиль ограничивает, к каким каталогам, программам и интернет-адресам код конфигурации имеет доступ в безопасном режиме. Типовые конфигурации на БСП умеют работать с такими профилями и сами запрашивают нужные разрешения.

Безопасность СУБД под базой 1С

СУБД — самое слабое место, если ей пренебречь: из неё можно прочитать любые данные, минуя права 1С.

MS SQL Server

• Создайте для 1С отдельный SQL-логин (или доменную учётную запись) и дайте ему роль db_owner только на базы 1С. Роль sysadmin и логин sa в строке подключения кластера не используйте.
• Логин sa отключите или задайте ему длинный случайный пароль.
• Порт 1433 закройте на брандмауэре для всех, кроме сервера 1С.
• Бухгалтерам не давайте доступ к SQL Management Studio «чтобы выгрузить отчёт».

PostgreSQL

• Базы 1С создавайте от отдельной роли, а не от суперпользователя postgres.
• В pg_hba.conf разрешите подключение только с адреса сервера 1С и методом scram-sha-256 (не trust).
• Параметр listen_addresses ограничьте нужным интерфейсом, а не *.

Пример строки в pg_hba.conf, где 10.0.0.15 — сервер 1С:

host    all    usr1c    10.0.0.15/32    scram-sha-256

Файловая база

У файловой базы нет ни сервера, ни СУБД — вся защита держится на правах NTFS. Каталог с 1Cv8.1CD доступен каждому пользователю на запись, и шифровальщик на любом компьютере бухгалтерии зашифрует базу по сети. Если пользователей больше 5-7 или база ценная, это повод перейти на клиент-серверный вариант или хотя бы на веб-публикацию, где пользователи не видят сетевую папку.

Резервное копирование базы 1С, которое переживёт шифровальщик

Резервная копия, лежащая на том же сервере или на смонтированном сетевом диске, шифруется вместе с базой. Поэтому правило 3-2-1: три копии, два разных носителя, одна копия вне досягаемости из сети.

Чем копировать

Расписание для типовой бухгалтерии

• 📅 Полная копия — каждую ночь, хранить 14-30 дней.
• ⏱️ Журнал транзакций (MS SQL, модель восстановления «полная») — каждые 15-60 минут в рабочее время.
• 🗓️ Месячная копия — хранить год, особенно перед закрытием года и сдачей отчётности.
• 📤 Одна из копий уходит на хранилище, которое сервер не видит как диск: облако с неизменяемыми копиями, отдельный NAS с выключенным доступом SMB для сервера, съёмный диск, который отключают после записи.

Проверка восстановления

Копия, которую ни разу не разворачивали, — это надежда, а не копия. Раз в месяц восстанавливайте последний бэкап в отдельную тестовую базу, открывайте её и формируйте пару отчётов, например оборотно-сальдовую ведомость. Зафиксируйте время восстановления: эта цифра и есть ваш реальный простой при аварии.

Защита от вирусов-шифровальщиков: что настроить на серверах

Шифровальщик не «взламывает 1С» — он шифрует файлы, до которых дотягиваются права заражённой учётной записи. Задача — сделать так, чтобы эти права были минимальными.

Антивирус и исключения

Антивирус на сервере нужен, но он умеет тормозить 1С. Типовая практика — исключить из проверки «на лету»:

• каталог кластера srvinfo и временные файлы сервера 1С;
• файлы данных и журналов СУБД;
• каталог файловой базы — с осторожностью, только если антивирус заметно тормозит работу.

Исключения делайте по каталогам, а не по процессам rphost.exe или sqlservr.exe: исключённый процесс можно использовать для запуска вредоносного кода.

Как шифровальщик попадает к 1С

1. 📧 Письмо с вложением открывают на компьютере бухгалтера, у которого подключена сетевая папка с файловой базой или бэкапами.
2. 🖥️ Подбор пароля к RDP, открытому в интернет.
3. 🧩 Внешняя обработка «для загрузки банковской выписки» из непроверенного источника.
4. 🔓 Сотрудник с правами администратора на терминальном сервере.

Против каждого пути — свой барьер: файловые базы не держать на общей папке, RDP только через VPN, внешние обработки только из проверенных источников и с включённой «Защитой от опасных действий», у пользователей нет прав администратора.

Если зашифровали

• Сразу отключите поражённые машины от сети, не выключая их — это поможет специалистам по расследованию.
• Не платите выкуп за «ключ»: гарантий нет, а база после чужого дешифратора часто повреждена.
• Восстанавливайтесь из копии вне сети на чистый, переустановленный сервер. Сначала сменить все пароли: администратора кластера, СУБД, доменных админов.

Регламентные работы и мониторинг безопасности 1С

Последний слой — заметить проблему раньше, чем она станет аварией.

Журнал регистрации

Журнал — основной инструмент расследования. Откройте Администрирование → Обслуживание → Журнал регистрации или найдите его через поиск по меню.

Что смотреть раз в неделю:

• 🔴 неудачные попытки входа (событие аутентификации с ошибкой) — серия попыток под одним логином означает подбор пароля;
• 🕑 входы в нерабочее время и с незнакомых компьютеров;
• 🗑️ массовое удаление или изменение данных одним пользователем;
• ⚙️ изменение пользователей и групп доступа.

Уровень журнала держите «Регистрировать все события» и не сокращайте срок хранения до пары дней ради экономии места.

Обновления

• Платформу 1С обновляйте до релиза, поддерживаемого вашей конфигурацией: в новых сборках закрывают уязвимости.
• Операционную систему и СУБД — по графику, сначала на тестовом стенде.
• Конфигурацию — регулярно, а не раз в год: в ней тоже исправляют ошибки безопасности.

Регламент администратора

Частые ошибки при защите базы 1С

• Пароль администратора кластера знают пять человек, включая бывшего подрядчика. Меняйте его при каждой смене подрядчика.
• Бэкап лежит в той же папке, что и база. Шифровальщик и сбой диска забирают обе копии одновременно.
• Строка подключения кластера к SQL под sa. Компрометация сервера 1С сразу даёт полный контроль над всеми базами на SQL-сервере.
• Флажок «Показывать в списке выбора» у всех пользователей на терминале. Список логинов облегчает подбор пароля — для внешнего доступа его лучше убрать.
• «Защиту от опасных действий» отключили один раз, чтобы запустить обработку, и забыли включить обратно.

Частые вопросы