Все инструменты безопасности в Битрикс объединены под общим названием "Проактивная защита".
Все инструменты доступны из редакции 1С-Битрикс "Стандарт". Для некоторых потребуется установить модуль "Веб-аналитика".
Расскажем подробнее про каждый раздел:
Проактивный фильтр защищает от большинства известных атак. Он распознает потенциальные угрозы и блокирует вторжения на сайт, анализирует и фильтрует данные, которые поступают от посетителя через переменные и куки.
Проактивный фильтр – это наиболее эффективный способ защиты от возможных ошибок безопасности, допущенных при реализации интернет-проекта (XSS, SQL Injection, PHP Including и ряда других).
Все попытки атак Проактивный фильтр фиксирует в специальном журнале и при этом информирует администратора сайта о случаях вторжения. Фильтр может заблокировать атакующего, добавив его IP-адрес в стоп-лист.
Администрирование - Настройки - Проактивная защита - сканер безопасности
Сканер безопасности — это служба мониторинга уязвимостей безопасности веб-сайтов. Совместно с модулем проактивной защиты сервис Security Scanner проводит полную диагностику угроз безопасности интернет-ресурсов и своевременно их предотвращает.
Сканер проверяет окружение проекта, находит настройки всех систем безопасности, а также находит потенциальные уязвимости кода.
Запустить сканирование можно по кнопке "Запустить сканирование".
После сканирования результаты отображаются со списком всех угроз безопасности, обнаруженных на веб-сайте. Обратите внимание, что не все найденное является угрозой, но по возможности стоит следовать рекомендациям.
В результатах проверки сайта на уязвимости даются также рекомендации по их устранению. Особо важные пункты красным цветом и обозначены восклицательным знаком.
Если у Вас возникли ошибки в сканере безопасности и Вы самостоятельно не можете решить вопрос, обратитесь к разработчикам за помощью. Ошибки могут быть критическими.
Администрирование - Настройки - Проактивная защита - Веб-антивирус
Веб-антивирус препятствует внедрению вредоносного кода в веб-сайт. Он выявляет в HTML коде потенциально опасные участки и вырезает подозрительные объекты из кода сайта.
Веб-антивирус также уведомляет администратора сайта о найденных вирусах или подозрительных частей кода.
В настройках этого инструмента можно добавить исключения, чтобы Веб-антивирус не срабатывал на безопасные, но подозрительные части кода.
Администрирование - Настройки - Инструменты - Монитор качества
Этот удобный, точный и понятный инструмент подсказывает потенциально опасные места в безопасности кода. Он не только предотвращает эксплуатацию уязвимости, но и устраняет ее источник. Проверка показывает в отчете возможные уязвимости в коде и усиливает защиту сайта от взлома.
DDoS-атака или иная распределенная атака на веб-сайт с использованием большого количества нежелательных запросов. Противостоять такой атаке может только специализированная защита.
Начиная с 15-й версии в Битриксе появилась возможность подключить защиту от DDoS-атак. Это можно сделать как из админки сайта, так и со специальной страницы на сайте Битрикс, если админка Битрикс на сайте недоступна из-за DDos атаки. Лицензия включает бесплатную защиту одного сайта от DDoS-атак в год сроком на 10 дней.
Напомним, что на нашем хостинге для Битрикс на всех тарифах уже присутствует аппаратная и программная защита от DDoS атак.
Очень полезный инструмент, позволяющий банить сомнительных посетителей. Возможности стоп-листа:
Контроль активности устанавливает защиту от сверх активных пользователей, программных ботов, отдельных категорий DDoS-атак, а также отсекает попытки подбора пароля методом перебора.
В настройках инструмента можно установить максимальную активность пользователя на сайте (например, количество запросов в секунду, которое может сделать пользователь).
Этот инструмент позволяет жестко ограничивать сети, которым разрешен доступ к административной части сайта. В нем можно указать список разрешенных IP, с которых можно управлять административной частью.
Это исключает любые XSS/CSS-атаки на компьютер администратора, а также перехват паролей, так как доступ и авторизация на чужом компьютере будут невозможны.
Инструмент также включает защиту от блокировки доступа администратора.
Администрирование - Настройки - Проактивная защита - Контроль целостности
Контроль целостности файлов поможет вам быстро узнать, были ли внесены изменения в системные файлы.В любой момент вы можете проверить целостность ядра, системных областей и публичной части продукта.
Система также позволяет выполнять проверку скрипта контроля на наличие изменений.
Также очень полезный инструмент безопасности. Целью большинства атак на веб-сайты является получение данных об авторизованном сеансе пользователя. Включение безопасности сеанса делает такой захват невозможным.
Хранение данных сеанса в таблице модуля позволяет избежать чтения этих данных через скрипты с других сайтов на том же сервере, исключая ошибки в настройке виртуального хостинга, ошибки в настройке прав доступа во временные каталоги и ряд других проблем в конфигурации операционной среды.
Кроме того, это разгружает файловую систему, перенося нагрузку на сервер базы данных.
Панель безопасности позволяет установить и настроить необходимый уровень безопасности для вашего сайта: начальный, стандартный, высокий и продвинутый. Попутно система дает рекомендации, какие действия следует задать для каждого параметра на выбранном текущем уровне.
Начальный уровень безопасности получать все проекты на базе Битрикс без установленного модуля «Проактивная защита».
Стандартный уровень безопасности — для тех проектов, где задействованы стандартные средства проактивной защиты продукта.
Высокий уровень безопасности — это рекомендуемый уровень защиты, который получают проекты, соответствующие требованиям стандартного уровня, а также включают:
Повышенный уровень безопасности включает в себя специальные средства защиты, обязательные для веб-сайтов, содержащих конфиденциальную информацию о пользователях. Помимо высокого уровня сюда входят:
Этот инструмент делает невозможным взлом паролей с формы авторизации, т.к. они шифруются по алгоритму RSA с ключом 1024 бит и в таком виде передаются на корпоративный сайт.
Безопасная авторизация с шифрованием пароля предотвращает передачу открытого текста пароля без SSL. При этом все инструменты, ранее использовавшиеся для авторизации, продолжают работать.
В журнал вторжений записываются все события, происходящие в системе, в том числе необычные или злонамеренные. События регистрируются в онлайн-режиме, что позволяет просматривать соответствующие записи журнала сразу же после их создания.
Такая скорость позволяет обнаруживать атаки и попытки атак в момент их проведения. Это означает, что вы можете немедленно реагировать и предотвращать возможные атаки.
Система одноразовых паролей дополняет стандартную систему авторизации и значительно улучшает систему безопасности сайта. Так реализована двухэтапная авторизация - сначала обычный логин и пароль, затем одноразовый пароль.
Подобную защиту можно реализовать как аппаратными средствами (аппаратные устройства-брелоки типа eToken PASS), так и программно с помощью Персонального генератора одноразовых паролей для сайта (ОТР).
В Битриксе, как и в любой CMS, для подсчета числа кликов, есть возможность реализации ссылок через редиректы. Для безопасной работы данного функционала, чтобы исключить подмену ссылок, необходимо использовать защиту от фишинга:
Опция позволяет разрешить/запретить загружать страницы сайта через frame за счет проставление заголовка X-Frame-Options в значение SAMEORIGIN. При активации защиты от фреймов не будет работать Вебвизор в Яндекс.Метрике. Есть способы обойти это ограничение, если добавить блокировку iframe через Nginx, в котором можно исключить блокировку для Вебвизора, в этом вам помогут в поддержке хостинга.
Опция блокирует открытие сайта по адресам, которые отличаются от разрешенных вами. Это делается за счет проверки и запрета подмены HTTP-заголовка Host.
Вы можете настроить блокировку таких попыток открытия сайта, или просто сделать переадресацию на нужный адрес.
В идеале, это первое, о чем должен позаботиться владелец сайта. Резервное копирование позволяет восстановить рабочую версию сайта после любого сбоя или вторжения извне.
На нашем хостинге Джихост резервное копирование происходит в автоматическом режиме раз в неделю. Копии хранятся на независимых серверах и не занимают места на дисках клиентов.
Однако пользователям рекомендуется создавать резервные копии самостоятельно. В частности, перед любыми серьезными изменениями или обновлениями на веб-сайте. Сделать это можно как на нашем хостинге, так и непосредственно в самом Битриксе.
Для создания резервной копии сайта на хостинге зайдите в свою Панель управления ( https://my.jehost.ru), в меню Инструменты – Резервные копии – Новый. Будет создана текущая резервная копия.
В Битриксе резервное копирование реализовано в различных вариантах.
Система 1С-Битрикс позволяет защитить сайт от межсайтовой подделки запросов буквально в один клик.
