Взлом гипервизора останавливает все базы 1С сразу: 6 шагов защиты

Чтобы взлом панели управления виртуализацией не остановил 1С целиком, уберите её из интернета: доступ только через VPN с двухфакторной аутентификацией, отдельная сеть управления, свежие обновления гипервизора и резервные копии на отдельном хранилище с другими паролями. Не хотите держать гипервизор сами, арендуйте виртуальный сервер: панель останется у провайдера.

🕖 Пятница, 18:40: как выглядит взлом гипервизора

Небольшая торговая компания. Бухгалтерия, склад и менеджеры работают в одной базе 1С на виртуальном сервере. В пятницу вечером бухгалтер закрывает неделю, и 1С не открывается. Администратор по привычке заходит в панель гипервизора с домашнего ноутбука, но пароль не подходит. На консоли самого сервера видно: все виртуальные машины выключены, на хранилище лежат файлы с чужим расширением и записка с адресом для связи.

Откуда взялся доступ? Два месяца назад администратор открыл порт панели в интернет: из дома удобнее, а VPN «настроим потом». В журнале входов каждый день копились неудачные попытки, но журнал никто не читал. Однажды перебор сработал. Или пароль вообще не понадобился: у некоторых гипервизоров находили уязвимости, при которых вход обходится без него.

Взломанная виртуальная машина остаётся одной машиной. Взломанный гипервизор означает все машины сразу: сервер 1С, SQL, файловый сервер, контроллер домена и хранилище с копиями, если оно подключено к тому же хосту. Диски шифруются снаружи гостевых систем, поэтому антивирус внутри виртуальной машины ничего не замечает: до него атака просто не доходит.

Это не теория. В феврале 2023 года кампания ESXiArgs шифровала виртуальные машины на серверах VMware ESXi через уязвимость в службе OpenSLP (порт 427). Заплатка для неё вышла в феврале 2021 года, за два года до атаки. Пострадали в основном хосты, которые все эти два года стояли без обновления, а нужная служба была видна из интернета.

💸 Что теряет бизнес, пока вы восстанавливаетесь

Первым останавливается всё, что завязано на базу. Склад не оформляет отгрузки, менеджеры не выставляют счета, бухгалтер не отправляет отчётность, а срок сдачи не сдвинется из-за вашей аварии.

Вторым ударом становятся копии. Если они лежали на том же хосте или в сетевой папке, подключённой к гипервизору, они зашифрованы вместе с машинами. Восстанавливать нечего, и базу собирают заново по бумажным и почтовым документам. Это измеряется неделями ручной работы.

Дальше идут деньги на восстановление. Час системного администратора у нас стоит 3800 ₽. Поднять хост, развернуть машины и проверить базы за один вечер не получится, а простой бухгалтерии в эту сумму не входит.

И последнее: в базе 1С лежат паспортные данные сотрудников, зарплаты, сведения о контрагентах-физлицах. Утечка превращается в вопросы по 152-ФЗ: статья 19 обязывает оператора принимать меры защиты персональных данных, а открытую панель гипервизора проверяющему объяснить трудно.

🤥 Три заблуждения, на которых держатся открытые панели

«У нас сложный пароль»

Пароль защищает от перебора, но не от уязвимости, при которой вход не нужен вовсе. ESXiArgs пароля не требовал. К тому же пароль root часто знают несколько человек, включая подрядчика, который когда-то настраивал сервер. Без двухфакторной аутентификации утечка одного пароля открывает всё.

«Мы маленькие, нас никто не ищет»

Никто и не ищет: ищет бот. Сканеры автоматически перебирают адресные диапазоны и проверяют типовые порты управления: 443, 8006 (Proxmox), 902, 5985 и 5986 (удалённое управление Windows). Размер компании выясняют уже после входа, по содержимому дисков.

«Бэкап у нас есть»

Вопрос в том, где он лежит. Копия на соседнем диске того же хоста, в сетевой папке с постоянно смонтированным доступом или на хранилище, куда гипервизор пишет под общей учётной записью, шифруется вместе с машинами. А бэкап, который ни разу не разворачивали, до проверки остаётся предположением.

⚖️ Четыре способа доступа к панели и что остаётся от риска

Варианты различаются тем, сколько работы вкладываете вы и где остаётся слабое место.

Если в первой строке вы узнали свою серверную, начинайте с шага 1 из следующего раздела.

Белый список выглядит надёжно, пока директору не понадобится доступ из отпуска. Тогда в список добавляют адрес гостиничного Wi-Fi, и схема перестаёт работать. VPN с двухфакторной аутентификацией настраивается дольше, но держится лучше. Четвёртый вариант убирает слой гипервизора из вашего контура.

🛠 Шесть шагов, если гипервизор остаётся у вас

1. ✓Проверьте, что видно снаружи. Из домашнего интернета или с арендованной виртуальной машины просканируйте внешние адреса офиса и серверной утилитой nmap. Порты 443, 8006, 902, 427, 22, 5985 и 5986 не должны отвечать от самого гипервизора. Любой ответ повод закрыть порт сегодня, не дожидаясь остальных шагов.
2. ✓Вынесите управление в отдельную сеть. Интерфейс гипервизора живёт в сети управления, виртуальные машины 1С в другой. Попасть в сеть управления можно только с адреса VPN-шлюза.
3. ✓Выключите лишнее. SSH на хосте включайте только на время работ. Службу SLP на ESXi остановите, если она не нужна: для уязвимости, которую использовал ESXiArgs, это был официальный обходной путь.
4. ✓Заведите именные учётные записи для каждого администратора, включите двухфакторную аутентификацию и запретите повседневную работу под root. Журнал входов отправляйте на отдельный сервер и настройте уведомление о входе ночью или в выходные.
5. ✓Ставьте обновления по графику: раз в месяц проверяйте выпуски для хоста и панели управления. Если для вашей версии патчи больше не выходят, планируйте переход на другую версию или платформу, а не надейтесь, что пронесёт.
6. ✓Храните копии вне досягаемости гипервизора: отдельное хранилище, отдельные учётные данные, а одну копию держите отключённой от сети. Раз в квартал разворачивайте базу из копии на тестовой машине и записывайте, сколько это заняло. Это ваше реальное время восстановления.

Шаги 1–4 занимают у администратора несколько часов, а не недель. Если в штате нет человека, который сделает это аккуратно, час системного администратора у нас стоит 3800 ₽, а настройку сервера 1С можно поручить нашим специалистам.

☁️ Когда гипервизор лучше не держать у себя

Свой гипервизор оправдан, когда вы сами нарезаете машины под десяток сервисов, и в штате есть человек, для которого обновления хостов и проверка копий входят в обязанности. Если задача проще, чтобы 1С работала у сотрудников, гипервизор превращается в постоянную нагрузку: патчи, мониторинг, бэкапы, ночные уведомления. И всё это ради слоя, который пользователи 1С не видят.

При аренде виртуального сервера для 1С граница проходит в другом месте. Вы получаете виртуальную машину и доступ к ней, а панель управления гипервизором остаётся на стороне провайдера. В вашем контуре её нет, поэтому открыть её в интернет «для удобства» вы не можете. За вами остаётся сама машина: обновления Windows, пароли, права пользователей 1С и RDP, закрытый от интернета. Этот объём работы умещается в короткий регламент.

По деньгам: аренда сервера 1С у нас начинается от 1 100 ₽ в месяц за пользователя, то есть для десяти человек от 11 000 ₽ в месяц. Если на закрытие панели и настройку VPN на собственном гипервизоре уйдёт три часа администратора, это 11 400 ₽ один раз. Но обновления, мониторинг и проверку копий придётся оплачивать каждый месяц отдельными часами.

Нужна изоляция железа или тяжёлая нагрузка, например под 1С:ERP? Тогда берут выделенный сервер в аренду. Но гипервизор на нём, если вы ставите его сами, остаётся вашим, и шесть шагов выше относятся к вам целиком.

Какой бы вариант вы ни выбрали, задайте провайдеру пять вопросов:

• ✓Доступна ли панель управления гипервизором из интернета и каким каналом в неё заходят администраторы?
• ✓Кто обновляет хосты и что происходит, если для вашей версии патчи перестали выходить?
• ✓Где лежат копии машин: на том же хосте или на отдельном хранилище с другими учётными данными?
• ✓Включена ли двухфакторная аутентификация у тех, кто имеет доступ к гипервизору?
• ✓Когда последний раз восстанавливали машину из копии и сколько это заняло?

Задайте их и нам. Ответ «всё под защитой» без подробностей не принимайте ни от одного провайдера, включая нас.

❓ Частые вопросы

Чем взлом гипервизора опаснее взлома одной виртуальной машины?

Гипервизор управляет всеми виртуальными машинами на сервере. Получив к нему доступ, злоумышленник выключает сервер 1С, SQL, файловый сервер и контроллер домена одним действием, а диски шифрует снаружи гостевых систем, где антивирус внутри машины его не видит. Взлом одной машины затрагивает только её саму.

Достаточно ли сложного пароля для панели управления гипервизором?

Нет. Пароль защищает от перебора, но не от уязвимостей, при которых вход не требуется, как в кампании ESXiArgs 2023 года. Панель должна быть недоступна из интернета, у администраторов нужна двухфакторная аутентификация, а хост должен получать обновления. Только вместе эти меры закрывают основной риск.

Нужен ли VPN, если панель закрыта белым списком адресов?

Список адресов лучше открытой панели, но слабее VPN. Он не защищает, если взломан компьютер с разрешённым адресом, и ломается, когда администратору нужен доступ из другого места. VPN с двухфакторной аутентификацией и отдельной сетью управления даёт контроль над тем, кто и когда входит, и оставляет журнал.

Где хранить копии, чтобы шифровальщик их не достал?

Вне досягаемости гипервизора: на отдельном хранилище с другими учётными данными, не смонтированном постоянно к хосту. Одну копию держите отключённой от сети. Раз в квартал разворачивайте базу из копии на тестовой машине и замеряйте время: копия, которую ни разу не восстанавливали, ничего не гарантирует.

Нужно ли защищать гипервизор, если я арендую виртуальный сервер для 1С?

Гипервизор в этом случае на стороне провайдера, и доступа к нему у вас нет. Ваша зона ответственности — сама виртуальная машина: обновления Windows, пароли, права пользователей 1С и RDP, закрытый от интернета. Перед арендой спросите провайдера, как защищена его панель управления и где хранятся копии.