Дата-центр охраняет стойку, а не ваш RDP: защита арендованного сервера 1С

Дата-центр защищает физику: стойку, питание, охлаждение и канал. Операционная система, порты, пароли и копии базы остаются на стороне арендатора. Чтобы защитить арендованный сервер 1С, закройте RDP от интернета, дайте пользователям минимальные права, храните бэкап вне сервера и проверяйте, что он восстанавливается. Дата-центр за вас этого не сделает.

Что дата-центр охраняет на самом деле 🏢

Фраза «сервер стоит в дата-центре, значит, он под охраной» верна наполовину. Охрана, пропускная система и видеонаблюдение защищают от человека, который пришёл к стойке с отвёрткой. Генератор и ИБП спасают от отключения света, резервные каналы от обрыва кабеля. Всё это нужно. Но к вам с отвёрткой никто не приедет.

Сервер взламывают по сети, а для сети дата-центр остаётся провайдером: он доставляет пакеты до вашего IP-адреса и не вникает, что на них отвечает. Отвечает Windows, и от её настройки зависит всё: открыт ли порт 3389, какой пароль у администратора, кто может зайти в папку с базой. Эта часть лежит на арендаторе. У части площадок на входе в сеть стоит фильтрация DDoS, и про неё стоит спросить до подписания договора. Но подбор пароля для канала выглядит как обычный вход пользователя, поэтому фильтр его не остановит.

Пятница, вечер: как открытый RDP превращается в зашифрованную базу 🔓

Возьмём сценарий, который у малого бизнеса повторяется почти без изменений. Торговая компания арендует сервер под 1С, десять человек работают удалённо. Чтобы бухгалтеры подключались из дома без возни, администратор оставляет порт 3389 открытым для всех адресов. Пароль из письма провайдера он уже заменил на запоминающийся.

Чужие попытки входа появляются быстро. В журнале безопасности Windows события с кодом 4625 идут пачками с адресов из разных стран, но журнал никто не открывает, поэтому тревоги нет. Бот перебирает популярные логины и пароли, пока не находит учётную запись с чем-нибудь вроде «Buh2024».

Вход случается в пятницу вечером, когда в офисе пусто. Событие 4624, обычная сессия, никаких всплывающих окон. У этой учётной записи есть права локального администратора, выданные когда-то «чтобы 1С не ругалась на доступ», поэтому антивирус отключается за минуту. Дальше скрипт находит диск D: и папку «Backup» рядом с файлами базы. Шифрует всё сразу: копии лежали на том же томе и были доступны из той же сессии.

В понедельник в 9:00 бухгалтерия не открывает базу, на рабочем столе сервера лежит текстовый файл с требованием выкупа. Копии делали каждую ночь, но хранились они там же, где сама база.

Теперь посчитайте цену. Без базы нельзя провести платёжки и выплатить зарплату, выставить счета покупателям, оформить отгрузку по УПД. Если случай выпал на конец квартала, декларацию по НДС всё равно нужно подать до 25-го числа следующего месяца: шифровальщик срок не сдвигает. Если свежей копии нет, документы за недели придётся вводить заново, и бухгалтерия будет заниматься этим вместо обычной работы.

Есть и юридическая сторона. В базе 1С лежат персональные данные сотрудников и контрагентов, а за них по 152-ФЗ отвечает оператор, то есть ваша компания, а не владелец сервера. При утечке оператор уведомляет Роскомнадзор в течение 24 часов, а итоги внутреннего расследования передаёт в течение 72 часов.

Пять настроек, которые рвут эту цепочку 🔒

Каждая настройка закрывает конкретное звено сценария выше.

1. ✓Уберите RDP из интернета. Подключайтесь через VPN или шлюз удалённых рабочих столов, а если пока нельзя, разрешите порт 3389 в фаерволе только с адресов офиса. Включите проверку подлинности на уровне сети (NLA). Текущую картину покажет компьютер вне вашей сети, например с мобильным интернетом: в PowerShell выполните Test-NetConnection с адресом сервера и параметром -Port 3389. Если в ответе TcpTestSucceeded : True, порт отвечает всем желающим.
2. ✓Заведите каждому пользователю личную учётную запись, переименуйте встроенного Administrator и включите блокировку после нескольких неудачных попыток входа. Общий логин «buh» на троих сотрудников нельзя ни заблокировать по одному, ни разобрать по журналу.
3. ✓Спрячьте порты 1С и СУБД. Кластер серверов 1С слушает 1540, 1541 и диапазон 1560–1591, MS SQL Server слушает 1433, PostgreSQL слушает 5432. Снаружи они не нужны никому: пользователи заходят через RDP за VPN или через веб-публикацию по HTTPS. Закройте эти порты фаерволом и проверьте тем же Test-NetConnection.
4. ✓Уберите у пользователей права локального администратора. Службу сервера 1С запускайте от отдельной учётной записи с доступом к каталогу базы и больше ни к чему. Тогда взлом одной сессии не даёт ни отключить антивирус, ни добраться до чужих папок.
5. ✓Вынесите копии за пределы сервера. Нужна хотя бы одна копия, к которой сервер не может обратиться с правом записи: другое хранилище, другая учётная запись, другая площадка. Раз в квартал разворачивайте её на тестовой машине и открывайте базу.

Отдельно включите автоматическую установку обновлений Windows в нерабочее окно. Шифровальщики часто входят через уязвимости, для которых заплатка давно вышла.

Копия рядом с базой не спасёт

Пятый пункт решает, станет ли инцидент неприятным понедельником или остановкой на неделю. Копии не помогают в нескольких типовых случаях.

• ✓Копия лежит на другом разделе того же сервера. Шифровальщик в одной сессии видит оба.
• ✓Сетевая папка подключена как постоянный диск. Из заражённой сессии она доступна на запись, значит, зашифруется вместе с остальным.
• ✓Копия создаётся каждый день, но ни разу не разворачивалась. В момент аварии выясняется, что файл повреждён или в нём нет нужных данных.
• ✓Единственная копия хранится у того же провайдера, и доступ к ней открывается тем же паролем от панели управления.

Для клиент-серверной базы держите и бэкап СУБД, и выгрузку в формате .dt: она выручает, когда СУБД не поднимается.

Кто за что отвечает: дата-центр или вы

Если в компании нет системного администратора, две нижние строки не ведёт никто. Сценарий с пятницей как раз про них.

Виртуальный или выделенный: что меняется для защиты

На виртуальном сервере для 1С железо делят несколько арендаторов, а изоляцию держит гипервизор. Соседи заметны скорее по скорости: если на хосте кто-то грузит диск, ваш отчёт тоже собирается дольше. Для безопасности важнее другое: учётная запись в панели управления. Через неё сбрасывают пароль администратора, подключают образ диска и открывают консоль в обход фаервола Windows. Включите двухфакторную проверку, если провайдер её даёт, и не заводите этот аккаунт на общий почтовый ящик.

Выделенный сервер в аренду отдаёт железо одному арендатору: соседей нет, диски и память принадлежат только вам. Зато появляется ещё один вход, интерфейс удалённого управления сервером (IPMI или BMC). Его адрес тоже нельзя оставлять открытым для интернета, а доступ к нему стоит ограничить так же, как RDP.

Что закрыть сразу и что можно заказать у нас

Первую проверку сделайте сами. С компьютера вне офиса выполните Test-NetConnection для портов 3389, 1540, 1541 и 1433. Каждый «True» означает открытую дверь, которую нужно либо объяснить, либо закрыть.

Дальше всё упирается в человека, который будет поддерживать настройки. Штатный администратор для небольшой компании нередко обходится дороже, чем задачи, которые он решает. Наш системный администратор работает по цене 3800 руб/час: закрывает RDP, настраивает фаервол, права пользователей и резервное копирование под вашу базу. Сколько часов уйдёт, зависит от схемы доступа и числа пользователей, поэтому оценку мы даём после просмотра сервера, а не наугад.

Если сервера ещё нет, защиту проще заложить сразу. Аренда сервера 1С у нас начинается от 1 100 ₽/мес за пользователя: для офиса из 10 человек это от 11 000 ₽/мес. Закрытый доступ, фаервол и резервное копирование можно включить в настройку сервера 1С при запуске, а не доделывать после первого инцидента.

Сервер уже арендован у другого провайдера? Начните с проверки портов и обсудите результат с нашим администратором: он подскажет, что закрыть в первую очередь.

❓ Частые вопросы

Кто отвечает за безопасность арендованного сервера: дата-центр или арендатор?

Дата-центр отвечает за физическую безопасность, питание, охлаждение и сеть до вашего сервера. Операционная система, открытые порты, пароли, права пользователей и резервные копии остаются на арендаторе. Персональные данные в базе 1С по 152-ФЗ тоже закреплены за вашей компанией как оператором, а не за арендодателем.

Можно ли оставить RDP открытым, если пароль сложный?

Лучше не оставлять. Сложный пароль замедляет подбор, но порт 3389 остаётся целью для ботов, а в самой службе удалённых рабочих столов находили критические уязвимости. Безопасная схема: доступ через VPN или шлюз удалённых рабочих столов, в фаерволе разрешены только адреса офиса, включена проверка подлинности на уровне сети (NLA).

Какие порты 1С нужно закрыть от интернета?

Кластер серверов 1С использует порты 1540, 1541 и диапазон 1560–1591, MS SQL Server слушает 1433, PostgreSQL 5432. Эти порты должны быть доступны только с самого сервера или с адресов серверов приложений. Пользователи подключаются через RDP за VPN или через веб-публикацию по HTTPS.

Как проверить, что бэкап базы 1С реально восстанавливается?

Раз в квартал разверните копию на отдельной тестовой машине: восстановите СУБД или загрузите выгрузку .dt, откройте базу и сверьте последние документы с рабочей базой. Проверьте также, что копия лежит вне сервера и недоступна с него на запись. Если база не открылась, считайте, что копии у вас нет.

Сколько стоит настроить защиту сервера 1С?

Работа системного администратора стоит 3800 руб/час. Сколько часов нужно, зависит от схемы доступа и числа пользователей, поэтому оценку мы даём после просмотра сервера. Сам сервер 1С в аренду стоит от 1 100 ₽/мес за пользователя, настройку защиты можно заложить при запуске. Для сервера другого провайдера начинаем с проверки открытых портов.