Security-by-Design для сервера 1С: как не проснуться с зашифрованной базой

Security-by-Design для сервера 1С означает, что защита входит в архитектуру до запуска базы: закрытый наружу RDP, раздельные права пользователей, резервные копии на отдельном хранилище и обновления по графику. Дописывать это после первой атаки поздно: шифровальщик за ночь добирается до базы и до копий рядом с ней.

Ночь с пятницы на субботу по часам 🕒

Сценарий собран из типовых инцидентов, конкретной компании за ним нет. Оптовая фирма в Москве, 25 пользователей, база 1С на арендованном сервере. Два года назад администратор открыл порт 3389 наружу, чтобы бухгалтеры работали из дома. Пароль учётной записи «buh» состоит из восьми символов и с тех пор не менялся.

1. ✓Пятница, 19:00. Последний пользователь выходит из сеанса, до понедельника на сервер никто не смотрит.
2. ✓Суббота, 02:40. Автоматический сканер находит открытый порт и начинает перебор паролей. Журнал безопасности растёт от неудачных входов, но читать его некому.
3. ✓Суббота, 04:15. Пароль подобран. Учётная запись входит в группу локальных администраторов, поэтому за один вход атакующий получает полный контроль над сервером.
4. ✓Суббота, 04:30. Он отключает антивирус, удаляет теневые копии Windows и запускает шифровальщик. Файлы базы и папка с резервными копиями на соседнем диске шифруются одним процессом.
5. ✓Понедельник, 08:30. Бухгалтерия открывает 1С и видит текстовый файл с требованием выкупа. Свежих копий, которые можно поднять, нет: они лежали на том же сервере.

Теперь ставка. Компания остаётся без реестра документов, остатков и взаиморасчётов. Отгрузки стоят, сроки сдачи отчётности не сдвигаются, а восстановление учёта по бумажным документам растягивается на недели. Выкуп не гарантирует расшифровку, и платить его мы не советуем.

Но самое неприятное в этой истории: взлом не потребовал ни уязвимости нулевого дня, ни охоты именно за этой фирмой. Хватило слабого пароля за открытым портом. Каждый шаг атаки закрывался решением, которое принимают до запуска базы.

Четыре решения, которые принимают до запуска базы 🧱

Security-by-Design отличается от «поставим защиту потом» порядком работ: сначала схема доступа, прав и копий, потом установка 1С. Для истории выше схема выглядит так.

Вход закрыт снаружи

RDP не должен отвечать на запросы из всего интернета. Рабочие места подключаются через VPN или с белого списка адресов, а сам вход защищён вторым фактором. Тогда перебор паролей упирается в закрытый порт, и сканер уходит искать другую цель.

Если сотрудникам нужен доступ с любого адреса, ставят шлюз удалённых рабочих столов с сертификатом и двухфакторной проверкой. Смена порта 3389 на другой номер защитой не считается: сканеры находят RDP на любом порту.

Права по минимуму

Бухгалтеру для работы в 1С не нужны права администратора Windows. Пользователям выдают обычные учётные записи, а администраторские остаются у одного-двух человек и защищены отдельными паролями. Даже если пароль бухгалтера подобрали, атакующий оказывается в ограниченной сессии: отключить антивирус и стереть теневые копии он не может.

Служба сервера 1С запускается под отдельной учётной записью, у которой есть доступ только к каталогу базы и к СУБД. Взлом одной службы не отдаёт сервер целиком.

Копии живут отдельно от сервера

Копия на том же диске защищает от ошибки пользователя, но не от шифровальщика. Рабочее правило называется 3-2-1: три копии на двух разных носителях, одна из них вне основной площадки. Хранилище для копий закрыто от учётных записей сервера, поэтому шифровальщик до него не дотягивается.

Одной свежей копии мало. Шифровальщик иногда сидит в системе несколько дней, и последняя копия оказывается уже заражённой, поэтому нужна глубина хранения, при которой есть чистая копия до заражения. Раз в квартал копию разворачивают на тестовом сервере и проверяют, что база открывается.

Обновления и журнал входов

Обновления Windows и платформы 1С ставят по графику, а не когда вспомнили. Серия неверных паролей за ночь видна в журнале, и нужно, чтобы её увидел человек или система оповещения до утра. Письмо о подозрительных входах стоит дешевле, чем неделя восстановления.

Четыре заблуждения, на которых держатся взломы ⚠️

«Мы маленькая компания, на нас никто не охотится»

Охотятся сканеры, а им размер не важен. Они перебирают адреса подряд и берут всё, что отвечает. Фирма с 25 пользователями попадает в тот же список, что и завод.

«Антивирус стоит, значит всё в порядке»

Атакующий с правами администратора отключает антивирус первым действием. Защита, которая выключается одной командой, не заменяет схему доступа.

«В 1С только цифры, персональных данных у нас нет»

В базах зарплаты и кадров лежат паспортные данные и СНИЛС сотрудников. Компания остаётся оператором персональных данных и отвечает за их сохранность по 152-ФЗ. Базы с данными граждан России должны храниться на серверах в России, поэтому площадка за границей для такой 1С не подходит.

«Копия есть, значит восстановимся»

Копия, которую ни разу не разворачивали, остаётся предположением. Бывает, что архив неполный, пароль к нему потерян или база из него не открывается, и выясняется это в понедельник в 08:30.

Если шифрование уже началось: первый час 🚨

Первое действие: отключить сервер от сети, чтобы шифровальщик не добрался до других компьютеров и сетевых хранилищ. Затем администраторские пароли меняют с чистого компьютера, а не с того, что стоял рядом с сервером. Параллельно проверяют, жива ли внешняя копия и от какого числа она.

Если в базах есть персональные данные, уведомление Роскомнадзору об инциденте уходит в течение 24 часов с момента, как инцидент выявили, а итоги внутреннего расследования передают в течение 72 часов. Срок идёт с первой минуты, а не с момента, когда базу восстановили.

Три способа держать 1С и что закрыто в каждом 📊

Сравнение по тем же решениям: вход, права, копии, обновления.

Офисный сервер не плох сам по себе, но защита в нём держится на одном человеке: уволился администратор, и схему никто не помнит. На виртуальном сервере без настройки старт дешевле, зато стоимость настройки приходит отдельным счётом по часам. Аренда с готовой защитой стоит больше голого сервера по прайсу, но не требует собирать схему по частям.

Как это собрано у нас и сколько стоит 🔐

При аренде сервера 1С четыре решения, о которых шла речь выше, закладываются на этапе настройки сервера, до того как в базу зайдёт первый пользователь. Доступ ограничен, обычные пользователи работают без прав администратора, копии уходят на хранилище отдельно от сервера, обновления ставятся по графику. Глубину хранения копий и список адресов для доступа согласуем под вашу базу.

Цена начинается от 1 100 ₽/мес за пользователя. Для 25 человек это от 27 500 ₽ в месяц, то есть примерно семь часов работы сисадмина по ставке 3800 руб/час. Переустановка сервера, чистка после шифровальщика и восстановление базы занимают заметно больше, и всё это время учёт стоит.

Небольшой команде хватает виртуального сервера для 1С. Когда база тяжёлая или нужны ресурсы без соседей по железу, берут выделенный сервер в аренду: процессоры и диски работают только на вас.

Если база уже стоит на офисном сервере с открытым RDP, переезд проще, чем кажется. Мы разворачиваем новую площадку, переносим базу в нерабочее время и выводим старый сервер из доступа. Утром пользователи продолжают работу в привычной базе.

Шесть вопросов арендодателю до подписания договора ✅

Проверка занимает один звонок. Спросите:

• ✓Открыт ли RDP в интернет, и если открыт, то зачем.
• ✓Где лежат резервные копии и когда их последний раз разворачивали на тестовом сервере.
• ✓Есть ли у обычных пользователей права администратора.
• ✓В каком дата-центре стоит сервер и находится ли он в России.
• ✓Кто ставит обновления и кто читает журнал входов.
• ✓Сколько занимает восстановление базы из копии и что об этом написано в договоре.

Если на два вопроса из шести отвечают «не знаем» или «настроим потом», защиту придётся достраивать вам и за ваш счёт.

❓ Частые вопросы

Что такое Security-by-Design применительно к серверу 1С?

Security-by-Design означает, что защиту проектируют вместе с сервером, а не добавляют после инцидента. Для 1С это закрытый снаружи RDP, пользователи без прав администратора, резервные копии на отдельном хранилище, обновления по графику и журнал входов, который кто-то читает. Всё это настраивают до того, как в базу зайдёт первый пользователь.

Достаточно ли антивируса для защиты сервера 1С?

Нет. Антивирус ловит известные вредоносные файлы, но не закрывает открытый порт и слабый пароль. Атакующий с правами администратора отключает антивирус первой командой. Он работает как один из слоёв, а основу защиты составляют закрытый вход, ограниченные права пользователей и копии вне сервера.

Можно ли оставить RDP открытым, если пароль сложный?

Не стоит. Сложный пароль замедляет перебор, но не останавливает его: сканеры работают круглосуточно, а пароли утекают из других сервисов. Надёжнее закрыть порт наружу и пускать сотрудников через VPN или шлюз с двухфакторной проверкой. Смена порта 3389 на другой номер защитой не считается.

Где хранить резервные копии базы 1С, чтобы их не зашифровал вирус?

Копии хранят на отдельном хранилище, к которому у учётных записей сервера нет прав на запись и удаление, и держат хотя бы одну копию вне основной площадки. Это правило 3-2-1. Раз в квартал копию разворачивают на тестовом сервере и проверяют, что база открывается.

Сколько стоит аренда защищённого сервера 1С в Москве?

Аренда сервера 1С в ukved.ru начинается от 1 100 ₽/мес за пользователя. Для 25 пользователей это от 27 500 ₽ в месяц. Итоговая сумма зависит от числа пользователей, размера базы и типа сервера: виртуального или выделенного. Точный расчёт делаем после оценки вашей базы.