Компания, в которой я работаю, разрабатывает (в том числе и я) свою собственную отраслевую конфигурацию (автоматизация швейного и ткацкого производства). На сегодняшний день конфигурация находится в стадии бурного развития — внедрили пяти клиентам, еще три на подходе. У клиентов масса пожеланий и мы их, по мере возможностей, реализовываем, и вообще готовим нашу конфигурацию к официальному представлению и размещению на сайте 1С.
И с недавних пор, появилась необходимость защищать нашу конфигурацию от воровства (различных швейных предприятий в Ивановской области немерено), мы провели небольшое исследование о методах защиты кода в 1С и результатами я спешу поделиться.
Штатные средства
Начнем со штатных средств защиты своего кода от копирования. Это можно сделать двумя способами.
Установить пароль на текст модуля.
Меню «Текст» -> «Установить пароль…».
Исключить текст модуля из поставки конфигурации.
Меню «Конфигурация» -> «Поставка конфигурации» -> «Настройка поставки…», нужно выбрать модули, которые требуется скрыть и не забыть включить пункт «Файл поставки может использоваться для обновления».
3 способа защиты своих разработок на 1С
После этого нужно зайти в меню «Конфигурация» -> «Поставка конфигурации» -> «Комплект поставки…» и сформировать CF-файл со скрытыми от просмотра текстами модулей.
При использовании этих методов код модуля превращается в байт-код, который можно декомпилировать (если захотеть) и некоторые инструменты в помощь начинающим есть в свободном доступе (правда они, насколько я знаю, предоставляют только базовые возможности).
Кроме этого, штатными средствами не удастся спрятать код модуля формы (хотя код модуля объекта спрятать можно).
Обфускация кода 1С
Обфускация — приведение кода в нечитаемый вид. Это можно сделать как при помощи специальных обработок (в недавнем обзоре интересного есть подобный пример), так и при помощи специальных сервисов (Нетленка 1С, например).
Также этот обфускацию можно использовать совместно со штатными средствами — обфускации подвергается байт-код скомпилированных модулей 1С.
Плюсами данного способа является простота (вставил код — получил абракадабру) и возможно зашифровать любой код.
А к минусам относится низка степень защиты — на любой обфускатор можно создать деобфускатор.
Использование внешних компонент
Неплохой метод для случаев, когда ценность представляет сам код (какой-либо уникальный алгоритм, например), а не вся конфигурация. Так как вынесение проверки легальности запуска конфигурации во внешнюю компоненту поможет не более чем установка пароля на модуль.
К плюсам данного метода следует отнести высокую надежность скрытия кода: восстановить 1С код из скомпилированной DLL-ки написанной на C++, например, — это та еще задача.
К минусам же, относиться необходимость переписать код 1С на другом языке (что тоже, зачастую, задача нетривиальная) и большие трудности с отладкой.
Решения сторонних разработчиков
Есть компании которые профессионально занимаются вопросом защиты интелектуальной собственности разработчиков на 1С. Примером можно привести компанию WiseAdvice.
Ключи защиты 1С:Предприятие пропали? Кто виноват и что делать!?
Суть их метода сводится к вынесению части кода в отдельную обработку, которая храниться в каком-либо зашифрованном хранилище. Доступ к это части кода осуществляется при помощи специальной внешней компоненты, которая и определяет доступ к зашифрованной обработке.
К плюсам такого подхода относится высока надежность защиты кода (во многих подобных решениях код в расшифрованном виде появляется только в оперативной памяти и только в момент исполнения этого самого кода) и отсутствие необходимости переводить код 1С в код какого-либо другого языка программирования.
А к минусам стоит отнести саму необходимость выносить код во внешние обработки и некоторые другие сложности связанные с использованием подобных систем.
Делая вывод, можно сказать, что нет абсолютно надежного способа защитить свою конфигурацию от нежелательного запуска (поправьте, если не так). В то же время для защиты частей кода от копирования есть немало надежных решений.
Если Вы нашли ошибку или неточность, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.
Оценка статьи:
(оценок: 5, средняя оценка: 4,80 из 5)
Источник: 1c-programmer-blog.ru
Защита 1С
Рассмотрим потенциальные угрозы безопасности при использовании программы 1с.
Информационная безопасность, как и защита информации – задача комплексная, направленная на обеспечение безопасности, реализуемая внедрением системы безопасности. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных, особо остро данная проблема стоит в области финансовых учетных систем. Наиболее популярной системой бухгалтерского учета, ведения продаж, CRM процессов в России является система 1С Предприятие.
Рассмотрим потенциальные угрозы безопасности при использовании программы 1С.
 |
Использование 1С с базами в файловом формате. Файловые базы 1С являются наиболее уязвимые к физическому воздействию. Связано это с особенностями архитектуры такого типа баз – необходимостью держать открытыми (с полным доступом) все файлы конфигурации и самих файловых баз для всех пользователей операционной системы. В результате, любой пользователь, имеющий право работать в файловой базе 1С, теоретически может скопировать или даже удалить информационную базу 1С двумя кликами мышки. |
 |
Использование 1С с базами в СУБД формате. Данный тип проблем возникает, если в качестве хранилища баз 1С используется СУБД (PosgreSQL, MS SQL), а в качестве промежуточной службы связи 1С и СУБД используется сервер 1С предприятия. Такой пример – во многих компаниях практикуется доработка конфигураций 1С под свои нужды. В процессе доработки, в условиях проектной «суеты», постоянных испытаний нового доработанного функционала – ответственные специалисты зачастую пренебрегают правилами сетевой безопасности. В результате, некоторые личности, которые имеют прямой доступ к базе данных СУБД или имеют права администратора на сервере 1С Предприятие, пусть даже на временный тестовый период – могут либо сделать резервную копию на внешние ресурсы, либо вовсе удалить базу данных в СУБД. |
|
Открытость и доступность серверного оборудования. При наличии несанкционированного доступа к серверному оборудованию сотрудники компании или третьи лица могут использовать этот доступ для кражи или порчи информации. Проще говоря – если злоумышленник получает доступ непосредственно к корпусу и консоли сервера 1с – круг его возможностей расширяется в десятки раз. |
|
Риски кражи, утечки персональных данных. Под актуальными угрозами безопасности персональных данных здесь понимается совокупность условий и факторов, создающих актуальную опасность несанкционированного, в том числе случайного, доступа к персональным данным при их обработке в информационной системе, например, ответственными сотрудниками, операторами ПК, бухгалтерией и т.д. Результатом этого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия ответственных лиц. |
 |
Сетевая безопасность. Информационная система предприятия, построенная с нарушением ГОСТ, требований к безопасности, рекомендаций, либо не имеющая надлежащей ИТ-поддержки – изобилует дырами, вирусным и шпионским программным обеспечением, множеством бэкдоров (несанкционированных доступов во внутреннюю сеть), что напрямую влияет на сохранность корпоративных данных в 1С. Это приводит к легкому доступу злоумышленника к коммерчески значимой информации. К примеру, свободный доступ к резервным копиям, отсутствие пароля на архивы с резервными копиями злоумышленник может использовать в корыстных целях. Не говоря уже об элементарном повреждении базы 1С вирусной активностью. |
 |
Взаимосвязь 1С с внешними объектами. Еще одной потенциальной угрозой является необходимость (а иногда и специальная маркетинговая особенность) учетной базы 1С связываться с «внешним миром». Выгрузки/загрузки клиент-банков, обмен информацией с филиалами, регулярная синхронизация с корпоративными сайтами, порталами, другими программами сдачи отчетности, управления клиентами и продажами и многое другое. Поскольку в данной области 1С не приветствуются соблюдения стандартов безопасности и унифицированности сетевого обмена информации – утечка вполне реальна на любом отрезке пути ее следования. В результате потребностей в нестандартных доработках автоматизации процессов или сокращения бюджета на необходимые меры по защите трафика – в учетной системе мгновенно растет количество уязвимостей, дыр, небезопасных соединений, открытых портов, легкодоступных файлов обмена в незашифрованном виде и т.д. Можно смело представить себе, к чему это может привести – начиная от элементарного вывода из строя базы 1С на определенное время, заканчивая подделкой платежного поручения на несколько миллионов. |
Что можно предложить для решения подобных проблем?
- Используя разграничения доступа NTFS, дать необходимые права только тем пользователям, которые работают с этой базой, тем самым обезопасив базу от кражи или порчи недобросовестными сотрудниками или злоумышленником;
- Всегда использовать авторизацию Windows для входа на рабочие станции пользователей и доступ к сетевым ресурсам;
- Использовать шифрованные диски или шифрованные папки, которые позволят сохранить конфиденциальную информацию даже при выносе базы 1С;
- Установить политику автоматической блокировки экрана, а также провести обучение пользователей для разъяснения необходимости блокировки профиля;
- Разграничение прав доступа на уровне 1С позволит пользователям получать доступ только к той информации, на которую они имеют соответствующие права;
- Необходимо разрешить запуск конфигуратора 1С только тем сотрудникам, которым он необходим.
2. При работе с СУБД базами 1С требуется обратить внимание на следующие рекомендации:
- Учетные данные для подключения к СУБД не должны иметь административных прав;
- Необходимо разграничивать права доступа к базам СУБД, например, создавать для каждой информационной базы свою учетную запись, что позволит минимизировать потерю данных при взломе одной из учетных записей;
- Рекомендуется ограничить физический и удаленный доступ к серверам баз данных и 1С предприятия;
- Рекомендуется использовать шифрование для баз данных, это позволит сохранить конфиденциальные данные, даже если злоумышленник получит физический доступ к файлам СУБД;
- Также одним из важных решений является шифрование либо установка пароля на резервные копии данных;
- Обязательным является создание администраторов кластера 1С, а также сервера 1С, так как по умолчанию если не созданы пользователи, полный доступ к информационным базам получают абсолютно все пользователи системы.
3. Требования к обеспечению физической безопасности серверного оборудования:
(согласно ГОСТ Р ИСО/МЭК ТО – 13335)
- Доступ к зонам, где обрабатывается или хранится важная информация, должен управляться и быть ограничен только полномочными лицами;
- Cредства управления аутентификацией, например, карточка управления доступом плюс персональный идентификационный номер [PIN], должны использоваться, чтобы разрешать и подтверждать любой доступ;
- Контрольный журнал всего доступа должен содержаться в надежном месте;
- Персоналу вспомогательных служб третьей стороны должен быть предоставлен ограниченный доступ в зоны безопасности или к средствам обработки важной информации только тогда, когда требуется;
- этот доступ должен быть разрешен и должен постоянно контролироваться;
- Права доступа в зоны безопасности должны регулярно анализироваться и обновляться, и отменяться, если необходимо;
- Должны быть учтены соответствующие нормы и стандарты по технике безопасности и охране труда;
- Ключевые средства должны быть расположены так, чтобы избежать доступа к ним широкой публики;
- Там, где это применимо, здания и комнаты должны быть скромными и должны давать минимальное указание на их цель, без ярких надписей, снаружи здания или внутри него, указывающих на наличие видов деятельности по обработке информации;
- Указатели и внутренние телефонные книги, указывающие на местоположения средств обработки важной информации, не должны быть легко доступны широкой публике.
4. Конфиденциальность персональных данных. Основной целью при организации защиты персональных данных является нейтрализация актуальных угроз в информационной системе, определенных Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», перечнем государственных стандартов и требований международных сертификаций по ИТ-безопасности (ГОСТ Р ИСО/МЭК 13335 2-5, ISO 27001). Достигается это путем ограничения доступа к информации по ее типам, разграничение доступа к информации по ролям пользователей, структурирование процесса обработки и хранения информации.
Вот ряд ключевых положений:
- Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей;
- Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным;
- Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
- Обработке подлежат только персональные данные, которые отвечают целям их обработки;
- Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом;
- Фотографическое, видео, аудио или другое записывающее оборудование, такое как камеры на мобильных устройствах, не должны допускаться, если только не разрешено;
- Накопители со сменным носителем должны быть разрешены только в том случае, если для этого есть производственная необходимость;
- Чтобы исключить злонамеренные действия в отношении конфиденциальной информации, требуется бумажные и электронные носители информации, когда они не используются, хранить в надлежащих запирающихся шкафах и/или в других защищенных предметах мебели, особенно в нерабочее время;
- Носители с важной или критичной служебной информацией, когда они не требуются, следует убирать и запирать (например, в несгораемом сейфе или шкафу), особенно когда помещение пустует.
5. Сетевая безопасность — это набор требований, предъявляемых к инфраструктуре компьютерной сети предприятии и политикам работы в ней, при выполнении которых обеспечивается защита сетевых ресурсов от несанкционированного доступа. В рамках рекомендуемых действий по организации и обеспечению сетевой безопасности, помимо базовых, можно рассмотреть следующие особенности:
- В первую очередь, в компании должен быть внедрен единый регламент информационной безопасности с соответствующими инструкциями;
- Пользователям должен быть максимально закрыт доступ к нежелательным сайтам, в том числе файлообменникам;
- Из внешней сети должны быть открыты только те порты, которые необходимы для корректной работы пользователей;
- Должна присутствовать система комплексного мониторинга действий пользователей и оперативного оповещения нарушения нормального состояния всех общедоступных ресурсов, работа которых важна для Компании;
- Наличие централизованной антивирусной системы и политик очистки и удаления вредоносных программ;
- Наличие централизованной системы управления и обновления антивирусным ПО, а также политик регулярных обновлений ОС;
- Возможность запуска съемных флэш носителей должна быть максимально ограничена;
- Пароль должен быть не менее 8 символов, содержать цифры, а также буквы верхнего и нижнего регистров;
- Должна быть защита и шифрование ключевых папок обмена информацией, в частности файлов обмена 1с и системы клиент-банк;
- Силовые линии и линии дальней связи, входящие в средства обработки информации, должны быть подземными там, где это возможно, или должны подлежать адекватной альтернативной защите;
- Сетевые кабели должны быть защищены от неразрешенного перехвата или повреждения, например, путем использования кабельного канала или избегания маршрутов, пролегающих через общедоступные зоны.
Подведя итог всего вышеизложенного хотелось бы отметить, что основными правилом при защите информации является ограничение прав и возможностей пользователей, а также контроль над ними при использовании информационных систем. Чем меньше пользователь имеет прав при работе с информационной системой, тем меньше шанс утечки или порчи информации по злому умыслу или по неосторожности.
На текущий момент, в целях обеспечения информационной безопасности бизнеса клиентов, одним из первых этапов мы предлагаем провести аудит информационной безопасности.
Комплексным решением для защиты данных предприятия, в том числе баз 1С – является решение «Сервер в Израиле», в котором собраны актуальные средства по обеспечению высокого уровня конфиденциальности информации.
Источник: efsol.ru
Как защитить базы 1С от вирусов-шифровальщиков и других угроз
В последнее время участились случаи утери баз данных 1С в результате действия вирусов-шифровальщиков. В статье даем рекомендации по защите информационных баз 1С.
Предупрежден – значит вооружен
Потеря баз данных 1С может произойти, например: из-за поломки жесткого диска, внезапного отключения электричества или пойманного вируса. Так как в последнее время участились случаи утери баз данных 1С в результате действия вирусов-шифровальщиков, речь пойдет о них.
Вот несколько реальных случаев из практики наших клиентов.
Реальные случаи заражения шифровальщиком
Внимательно относитесь к тому, какие сайты посещаете с рабочего компьютера, с осторожностью открывайте письма с незнакомых адресов, не подключайте к компьютеру сомнительные устройства, и самое главное – архивируйте базу.
Как защитить базы 1С
На сегодняшний день самый эффективным способом защиты информации является резервное копирование данных на защищенные облачные серверы.
Фирма «1С» предоставляет возможность размещать архивные копии баз на своих защищенных облачных серверах. Для этого был разработан сервис 1С:Облачный архив.
1С:Облачный архив осуществляет автоматическое выполнение копий без участия пользователя по заданному расписанию. Отслеживать наличие резервных копий можно в личном кабинете или через уведомления на электронную почту. Даже если компьютер с базами данных будет зашифрован, всегда можно будет скачать актуальную копию базы из личного кабинета и в кратчайшие сроки восстановить работу организации.
Преимущества сервиса 1С:Облачный архив
Если по каким-то причинам у вас нет возможности настроить резервное копирование через 1С:Облачный архив, рекомендуем проводить ежедневное резервное копирование на альтернативный носитель.
Альтернативный носитель – это физическое устройство или облачное хранилище, которое позволяют хранить копии баз 1С отдельно от компьютера, где они расположены. В качестве альтернативного носителя могут выступать:
- облачные хранилища Acronis или аналогичный сервис,
- изолированный сервер без доступа к интернету и других пользователей;
- съемный жесткий диск для хранения копий. При этом важно, чтобы диск не был все время подключен к компьютеру.
Стоит помнить, что при подключении съемного диска к зараженному вирусом компьютеру есть риск заражения и съемного носителя. Поэтому рекомендуем обеспечить облачное хранение копий информационных баз.
Для максимальной надежности рекомендуем использовать сразу два способа архивирования баз данных 1С: создавать копии как в облачном сервисе, так и на жестком носителе.
Как сделать резервную копию базы 1С:
- Архивация базы данных. Вовремя защищайте информационные базы от утери
- Как в 1С:Бухгалтерии 8 (ред. 3.0) настроить автоматическое резервное копирование рабочей базы?
- Рекомендации по организации резервного копирования информационной базы
Нужна помощь в подключении сервиса 1С:Облачный архив или настройке резервного копирования? Обратитесь к нашим специалистам.
Настройка резервного копирования требует грамотной работы системного администратора, а также дополнительных временных затрат. Если организация не обладает такими ресурсами, то самое простое – это вести учет в облачной программе 1С:Фреш.
Вместе с этим читают:
- Архивирование базы данных – необходимое условие для защиты информации
- Архивация базы данных. Вовремя защищайте информационные базы от утери
Поделиться:
1501 просмотр
1С:Облачный архив
Защита ваших баз данных: копирует, архивирует и бережно хранит на надежном сервере 1С
Array ( [ID] => 713 [TIMESTAMP_X] => 2018-06-29 13:24:25 [IBLOCK_ID] => 163 [NAME] => 1С:Облачный архив [ACTIVE] => Y [SORT] => 500 [CODE] => SERVICE_OFFER [DEFAULT_VALUE] => [PROPERTY_TYPE] => E [ROW_COUNT] => 1 [COL_COUNT] => 30 [LIST_TYPE] => L [MULTIPLE] => N [XML_ID] => [FILE_TYPE] => [MULTIPLE_CNT] => 5 [TMP_ID] => [LINK_IBLOCK_ID] => 161 [WITH_DESCRIPTION] => N [SEARCHABLE] => N [FILTRABLE] => N [VERSION] => 1 [USER_TYPE] => [IS_REQUIRED] => N [USER_TYPE_SETTINGS] => [HINT] => [PROPERTY_VALUE_ID] => 10298047 [VALUE] => 2104604 [DESCRIPTION] => [VALUE_ENUM] => [VALUE_XML_ID] => [VALUE_SORT] => [~VALUE] => 2104604 [~DESCRIPTION] => [~NAME] => Блок [~DEFAULT_VALUE] => [PREVIEW_PICTURE] => /upload/iblock/5eb/1с-облачный архив_color.png [PREVIEW_TEXT] => Защита ваших баз данных: копирует, архивирует и бережно хранит на надежном сервере 1С [DETAIL_PAGE_URL] => /services/1c_oblachny_archiv/ )
информационная
рассылка
Каждую неделю только самые полезные новости
Источник: sopr1c.ru