Центр информационной безопасности и мониторинга инцидентов
Актуальные инциденты:
13.03.2025: Случаи взломов сайтов, использующих устаревшие решения компаний «eSolutions» и «Маяк»
06.02.2025: Рост числа кибератак на сайты, созданные на необновленных решениях компании «Аспро»
Канал о безопасности от команды 1С-Битрикс
Здесь вы найдете свежие новости, аналитику, экспертные мнения и кейсы взломов с советами по защите. Мы также публикуем информацию о возможных уязвимостях, чтобы вы могли оперативно защитить свои ресурсы.
Подписаться
Проактивная защита данных
Неважно, кто разработчик ПО вашего веб-проекта — российский или зарубежный вендор. Популярный или малоизвестный бренд. Системный или самописный код. Для хакеров это не имеет значения.
Мы подготовили список рекомендаций для защиты сайта — сделайте всё из списка. Проблема больше, чем вам кажется. Не ждите, пока вас взломают.
Двухфакторная аутентификация
Одноразовые пароли значительно усиливают систему безопасности вашего сайта. Используйте приложение Bitrix OTP для дополнительной защиты.
Проактивный фильтр атак и вторжений
Проактивный фильтр Web Application Firewall распознает угрозы и блокирует вторжения на сайт.
Все атаки и подозрительные активности фиксируются в журнале.
Аудит безопасности кода и веб-антивирус
Удобный инструмент для вашего разработчика, который «подсвечивает» в его коде узкие места. Это усиливает защиту сайта.
Кроме того, в CMS уже встроен веб-антивирус. Он блокирует вредоносный код и вырезает подозрительные объекты. Администратор сайта получит уведомление о наличии проблемы.
Круглогодичный аудит HackerOne
Лучшие хакеры мира проверяют «1С-Битрикс: Управление сайтом» на платформе HackerOne.
Это помогает службе безопасности устранять уязвимости максимально быстро.
Центр информирования о необходимых обновлениях
Мы изучаем все сообщения о возможных уязвимостях безопасности, затрагивающих продукты «1С-Битрикс». В центре информирования мы собираем актуальную информацию, которая поможет вам оперативно обеспечивать защиту ваших систем.
Реестр решений сторонних разработчиков с выявленными уязвимостями
Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» в рамках проекта «Безопасные интеграции» проактивно изучает и фиксирует все инциденты, связанные с эксплуатацией уязвимостей в решениях, интеграциях и дополнениях, разработанных сторонними компаниями без нашего участия. Выявленные уязвимости и содержащие их решения перечислены ниже.
Обращаем внимание: «1С-Битрикс» не несет ответственности за решения сторонних разработчиков, размещённые в маркетплейсе. Техническая поддержка таких решений осуществляется их разработчиками. Контактные данные и регламент указаны в карточке решения во вкладке «Поддержка»
Резервирование данных в облаке
Даже если в ваш дата-центр ударит молния, вы всегда сможете «откатиться» к одной из последних облачных копий.
Рекомендуем выбрать для бекапа время, когда на сайте мало посетителей.
Размер выделенного места в облаке зависит от типа лицензии.
Зачем нужны обновления
Отдел безопасности «1С-Битрикс: Управление сайтом» постоянно контролирует код продукта, моделирует угрозы и попытки взлома. Новые версии продукта более надежны, так как учитывают новейшие приёмы злоумышленников.
Последняя версия продукта максимально защищает ваш сайт. Регулярно проверяйте лицензию на актуальность и обновляйте ее.
Как максимально снизить риски? Проверьте и обновите вашу лицензию
Лицензионный ключ - это код из 23 символов, в соcтав которого входят прописные (большие) буквы латинского алфавита и цифры, в формате: XXX-XX-XXXXXXXXXXXXXXXX.
Если вы вводите символы кода вручную, убедитесь, что правильно интерпретировали символ "0" и "I".
Как найти ваш лицензионный ключ:
- Авторизуйтесь под учетной записью администратора. Откройте ссылку на вашем сайте https://www.mysite.ru/bitrix/admin/update_system.php
- Найдите поле «Лицензионный ключ» в блоке «Ответ от сервера обновлений».
- Нажмите кнопку «Проверить ключ» (для версий 11.X.X и выше) или скопируйте лицензионный ключ и вставьте в поле для ввода ключа (для версий ниже 11.X.X).
Обновитесь, и вы всегда будете под защитой.
Частые вопросы
-
Почему необходимо регулярно обновлять CMS?
Обновление CMS «1С-Битрикс: Управление сайтом» является очень важным для поддержания безопасности и улучшения производительности системы.
Регулярная установка новых версий устраняет возможные уязвимости — это сделает ваш сайт максимально защищенным.
Также регулярное обновление позволяет вам иметь доступ к самым последним функциям — это может улучшить ваши веб-проекты. -
Как правильно обновлять мой «1С-Битрикс: Управление сайтом»?
- Перед обновлением убедитесь, что у вас есть полная резервная копия сайта и базы данных.
- Перейдите в панель управления сайтом, выберите «Обновления» и нажмите «Поиск обновлений».
- Выберите необходимое обновление и нажмите «Установить».
- Дождитесь завершения установки и проверьте работоспособность сайта.
- Если ваш сайт поддерживает партнер, обратитесь к нему для обновления.
-
Как тестируется и проверяется защищенность CMS?
- Проверка наличия и актуальности правильно настроенных разрешений файлов.
- Автоматический и ручной аудит исходного кода, чтобы удостовериться, что он удовлетворяет требованиям безопасности.
- Круглогодичный аудит HackerOne. Это помогает службе безопасности устранять уязвимости максимально быстро.
-
Какими способами я могу контролировать доступ к своей CMS?
Для контроля доступа к CMS можно использовать следующие способы:
- Пользователи с разными уровнями доступа. Управляйте доступом к различным функциям сайта, настраивая права для каждой группы пользователей.
- SSL-шифрование. Данные, передаваемые по протоколу HTTP, защищены от прослушивания.
- Ограничение доступа по IP-адресу. Используйте настройки сервера или специальные модули для создания списка IP-адресов, которые могут получить доступ к сайту.
- Двухфакторная аутентификация. Для усиления безопасности используйте двухфакторную аутентификацию. Этот метод требует, чтобы пользователь подтвердил вход в систему. Например, с помощью временного кода, который отправляется на мобильный телефон.
- Мониторинг лога доступа к своей CMS.
-
Как мне самостоятельно организовать бэкап контента?
Для резервного копирования выполните следующие шаги:
- Откройте панель администрирования сайта.
- Перейдите в раздел «Настройки» -> «Настройки продукта» -> «Настройки модулей» -> «Резервное копирование».
- Включите опцию «Включить резервное копирование».
- Выберите тип архива, который будет использоваться для сохранения резервных копий.
- Укажите место, где будут сохраняться резервные копии (например, FTP-сервер, локальный диск, облачное хранилище).
- Задайте расписание, по которому будет выполняться резервное копирование.
- Нажмите кнопку «Сохранить».
Также можно скопировать контент вручную, используя функцию «Резервное копирование и восстановление» в разделе «Настройки». В этом случае необходимо выбрать тип архива и указать место, где будет сохраняться резервная копия.
Cледует регулярно проверять возможность восстановления сайта из резервной копии.
-
Какие сторонние сервисы имеют доступ к контенту моего веб-проекта?
В CMS «1С-Битрикс: Управление сайтом» можно использовать сторонние сервисы и интеграции для аналитики, рассылки электронной почты, приема оплаты и других задач.
Однако, необходимо соблюдать правила безопасности.
Предоставление доступа к управлению CMS сторонним сервисам может повлечь риски: нарушение безопасности данных, потенциальный доступ злоумышленников к вашему сайту или потеря контроля над управлением сайтом. Поэтому следует тщательно выбирать сторонние сервисы и интеграции. Используйте только те сервисы, которые действительно необходимы для решения ваших задач.
Перед использованием любого стороннего сервиса или интеграции в CMS «1С-Битрикс: Управление сайтом», рекомендуем обратиться к документации CMS и производителя стороннего сервиса и прочитать рекомендации по безопасности и правила использования.
Также не забывайте использовать инструменты для контроля доступа сторонних сервисов к CMS «1С-Битрикс: Управление сайтом», например, ограничение прав доступа, двухфакторная аутентификация и т.д.
-
Как CMS защищена от вирусов?
«1С-Битрикс: Управление сайтом» имеет встроенную защиту от вирусов, которая позволяет блокировать и удалять зараженные файлы.
Система предоставляет пользователям возможность сканировать свои файлы, чтобы найти и удалить вирусы.
-
Как CMS защищена от взлома?
CMS имеет встроенную защиту от SQL-инъекций, XSS-атак, CSRF-атак и других угроз.
Также система поддерживает многоуровневую аутентификацию, разделение прав доступа, шифрование паролей, сложные политики безопасности и т.д.
-
Могу ли я хранить свои данные в облачном хранилище?
Да, вы можете хранить свои личные данные в облачном хранилище «1С-Битрикс: Управление сайтом».
1С-Битрикс предоставляет инструменты для создания и настройки облачного хранилища на основе своей облачной платформы — Битрикс24.
Для защиты личных данных в облачном хранилище используются различные механизмы безопасности, включая шифрование данных в пути и в покое, авторизацию и аутентификацию пользователей, контроль доступа к файлам и другие методы.
Кроме того, «1С-Битрикс: Управление сайтом» предоставляет возможность настройки дополнительных мер безопасности, например, двухфакторной аутентификации и других.
Однако, необходимо учитывать, что безопасность хранилища зависит от правильной настройки и использования, а также от защиты учетных записей и устройств, с которых происходит доступ к хранилищу. Поэтому необходимо следить за безопасностью своих учетных данных и устройств, используемых для работы с облачным хранилищем CMS «1С-Битрикс: Управление сайтом».
-
Есть ли в CMS система проверки программного кода?
Да, в CMS есть система проверки программного кода, которая позволяет выявлять потенциальные проблемы. -
Как CMS защищает мою авторизацию при входе в систему?
CMS «1С-Битрикс: Управление сайтом» надежно защищает авторизации пользователей на сайте. При входе в систему происходит проверка логина и пароля. Пользователь получает временный идентификатор сессии, который сохраняется в cookie на стороне клиента и передается в запросах на сервер для подтверждения авторизации.
Ниже приведены основные меры безопасности, которые использует «1С-Битрикс: Управление сайтом» для защиты авторизации пользователей:
- Шифрование пароля. При регистрации или изменении пароль хешируется и сохраняется в зашифрованном виде в базе данных. При авторизации введенный пользователем пароль сравнивается с хешем из базы данных.
- Защита от подбора пароля. Встроенная защита от подбора пароля ограничивает количество попыток ввода пароля и блокирует доступ к учетной записи при достижении заданного количества неудачных попыток.
- Защита сессии. Идентификаторы сессий сохраняются в cookie и передаются в зашифрованном виде, что делает невозможным подделку сессии. Кроме того, CMS «1С-Битрикс: Управление сайтом» имеет защиту от перехвата cookie и подделки запросов на сервер.
- Защита от XSS- и CSRF-атак. Позволяет предотвратить некоторые типы атак, связанных с межсайтовой подделкой запросов и внедрением вредоносного кода в страницы сайта.
Обязательно убедитесь, что ваш сайт работает только по https. Как и в любой другой системе, безопасность зависит от правильной настройки и использования сайта.