Большинство атак на сайты сегодня — это не хакер, который «взламывает именно вас», а поток автоматических ботов, перебирающих типовые уязвимости на всём, что видят. SQL-инъекции, XSS, брутфорс паролей — массовые и безадресные. Хорошая новость: 1С-Битрикс несёт на борту серьёзный арсенал против таких атак — модуль «Проактивная защита», который часто просто не настроен.
В этом материале разберём по шагам, как настроить проактивную защиту и проактивный фильтр (WAF) в 1С-Битрикс так, чтобы закрыть типовые атаки и при этом не сломать работу сайта. Пройдём уровни безопасности, исключения, защиту панели, одноразовые пароли и журнал вторжений. Если нужна экспертная проверка защищённости, начните с аудита и оптимизации решения на 1С-Битрикс.
Коротко
- Проактивная защита — встроенный набор механизмов Битрикс: фильтр-WAF, защита сессий, OTP, журнал вторжений.
- Проактивный фильтр включают постепенно, через наблюдение журнала и настройку исключений, а не «сразу на блокировку».
- Целевой уровень безопасности задают мастером; для боевого магазина — повышенный или высокий.
- Защита строится слоями: обновления, окружение, проактивная защита и внешний WAF работают вместе.
Что такое проактивная защита
Проактивная защита — это отдельный модуль 1С-Битрикс, объединяющий механизмы безопасности уровня приложения. В отличие от защиты сервера, он «понимает» контекст самой платформы: сессии пользователей, параметры компонентов, права доступа, административную панель. Это позволяет ему перехватывать атаки, которые сетевые средства не видят.
В состав входят проактивный фильтр (WAF), защита от подделки сессий, одноразовые пароли, контроль активности сессий, ограничение прав на исполнение файлов, журнал вторжений, контроль целостности и мастер безопасности. Каждый из инструментов закрывает свой класс угроз, а вместе они образуют цельный контур. Важно понимать: модуль установлен, но многие его функции по умолчанию выключены или настроены мягко — их нужно осознанно доводить до боевого состояния.
Проактивный фильтр как WAF
Сердце модуля — проактивный фильтр, по сути Web Application Firewall уровня приложения. Он анализирует все входящие данные — параметры GET и POST, cookie — на предмет опасных конструкций, характерных для SQL-инъекций, межсайтового скриптинга (XSS) и других атак.
Обнаружив подозрительные данные, фильтр не пропускает их в исходном виде: он экранирует или нейтрализует опасные фрагменты и фиксирует событие в журнале вторжений. Так большинство массовых автоматических атак гасится ещё до того, как данные дойдут до кода компонента. Это первая и самая важная линия обороны, которая закрывает основной поток безадресных атак ботов.
Уровни безопасности и мастер
Чтобы не собирать защиту «по кусочкам», в модуле есть предустановленные уровни безопасности и мастер, который ведёт к цели. Уровень задаёт планку, а мастер показывает, какие настройки нужно включить для её достижения.
| Уровень | Что включает | Когда применять |
|---|---|---|
| Стандартный | Базовые настройки по умолчанию | Стартовая точка, недостаточно для боя |
| Высокий | Проактивный фильтр, защита сессий, требования к паролям | Боевой сайт, интернет-магазин |
| Повышенный/высший | Плюс OTP, контроль целостности, жёсткие права | Магазины с оплатой, персональными данными |
Практический подход: определите целевой уровень исходя из чувствительности данных (магазин с оплатой и персональными данными требует большего), пройдите мастер и включайте рекомендованные настройки по одной, проверяя, что сайт продолжает работать. Не гонитесь за высшим уровнем на слабо изученном проекте — сначала стабильность, потом ужесточение.
Включаем проактивный фильтр без сбоев
Главный риск при внедрении WAF — сломать легитимную работу сайта агрессивной фильтрацией. Поэтому фильтр включают не рубильником, а поэтапно.
- Включите фильтр в мягком режиме. Дайте ему работать и писать в журнал, наблюдая срабатывания на реальном трафике.
- Изучите журнал вторжений. Отделите реальные атаки от ложных срабатываний на легитимных данных.
- Настройте исключения. Для страниц и параметров, где ложные срабатывания оправданы (HTML-контент, сложные формы), добавьте исключения.
- Ужесточите режим. Убедившись, что легитимный трафик не страдает, переходите к активной блокировке.
- Проверьте ключевые сценарии. Оформление заказа, формы, личный кабинет, интеграции — всё должно работать после ужесточения.
Такой порядок исключает ситуацию, когда после включения защиты у клиентов внезапно перестаёт оформляться заказ, а причину ищут в другом месте.
Исключения и белые списки
Проактивный фильтр иногда срабатывает на вполне легитимные данные: HTML-разметку в полях контента, сложные строки в формах, тело API-запросов, специфические параметры компонентов. Полностью отключать фильтр из-за этого — плохое решение; правильный путь — точечные исключения.
- Исключения по страницам. Отключайте фильтрацию только там, где она мешает и где вы контролируете безопасность вручную.
- Исключения по параметрам. Разрешите конкретные поля, которые легитимно содержат «подозрительные» символы.
- Доверенные точки интеграции. Эндпоинты обмена и API настраивайте осознанно, не открывая при этом лишнего.
- Минимум исключений. Каждое исключение — это дырка в защите; их должно быть как можно меньше и с обоснованием.
Ведите список исключений как часть документации безопасности: что открыто, где и почему. Это упрощает поддержку и аудит.
Защита сессий и панели
Компрометация сессии администратора опаснее многих атак: злоумышленник получает права управляющего сайтом. Модуль проактивной защиты закрывает этот вектор несколькими механизмами.
- Защита от подделки сессий. Привязка сессии к параметрам клиента и хранение в защищённом виде против угона cookie.
- Контроль активности. Ограничение времени жизни сессии и завершение неактивных.
- Защита административной части. Ограничение доступа в панель по адресам, «умная» защита от подбора и скрытие пути входа.
- Требования к паролям. Минимальная длина, сложность и периодическая смена для аккаунтов с правами.
Отдельно стоит ограничить доступ к административной панели по IP или дополнительным факторам там, где это возможно организационно, — это резко сужает поверхность атаки на самые ценные аккаунты.
Одноразовые пароли и права
Для аккаунтов с высокими правами один пароль — недостаточно. Одноразовые пароли (OTP) добавляют второй фактор: даже перехваченный основной пароль бесполезен без кода из приложения-генератора. В 1С-Битрикс OTP настраивается в модуле проактивной защиты и работает по стандартным алгоритмам одноразовых кодов.
Параллельно наводят порядок в правах: действует принцип минимальных привилегий — у каждого сотрудника ровно те права, что нужны для его задач, и не больше. Отдельно ограничивают возможность исполнять загруженные файлы как скрипты — это закрывает распространённый вектор, когда через уязвимость загрузки файлов пытаются выполнить произвольный код. Чем меньше прав и возможностей исполнения, тем меньше урон при любой успешной атаке.
Журнал вторжений и мониторинг
Защита без наблюдения слепа. Журнал вторжений фиксирует срабатывания фильтра, подозрительные запросы и аномальную активность — это ваш главный источник понимания, что и как атакует сайт.
Регулярный просмотр журнала — часть эксплуатации, а не разовая операция. По нему настраивают исключения (гасят ложные срабатывания), выявляют реальные атаки и решают, где ужесточить правила. Полезно завести практику периодического ревью: раз в неделю просматривать журнал, отмечать всплески и повторяющиеся источники атак. Как встроить безопасность в регулярные процессы разработки и выкладки, мы разбирали в статье про CI/CD и деплой на 1С-Битрикс.
Контроль целостности и обновления
Контроль целостности файлов позволяет обнаружить несанкционированные изменения: если в код подмешали вредоносный скрипт или изменили ядро, система это заметит по расхождению контрольных сумм. Периодическая проверка целостности — важный сигнал раннего обнаружения взлома.
Но никакая проактивная защита не отменяет базовой гигиены: своевременных обновлений ядра и модулей, актуальной версии PHP, корректных прав на файлы и каталоги. Значительная часть взломов эксплуатирует давно закрытые уязвимости на необновлённых сайтах. Обновления и настройка окружения — фундамент, на котором стоит всё остальное. Про роль окружения в безопасности и стабильности — наш материал о хостинге и инфраструктуре на BitrixVM.
Внешний WAF и оборона слоями
Проактивный фильтр Битрикс не конкурирует с облачным или сетевым WAF — они работают на разных уровнях и усиливают друг друга. Грамотная безопасность строится слоями, где каждый слой ловит то, что пропустил предыдущий.
| Слой | Что закрывает |
|---|---|
| Внешний/облачный WAF, CDN | DDoS, массовые атаки, фильтрация до сервера |
| Настройка сервера и окружения | Права, версии ПО, изоляция, доступы |
| Проактивная защита Битрикс | Атаки на приложение: инъекции, XSS, сессии |
| Безопасный код и обновления | Закрытие уязвимостей на уровне логики |
| Мониторинг и журналы | Обнаружение и реакция |
Комбинация внешнего WAF и встроенной проактивной защиты покрывает больше угроз, чем любой инструмент по отдельности. Внешний слой гасит объёмные атаки до сервера, внутренний понимает контекст приложения.
Частые ошибки
- Модуль есть, но не настроен. Проактивная защита установлена, а функции выключены — сайт открыт.
- Фильтр включили «сразу на блок». Без наблюдения журнала ломается легитимный трафик — заказы, формы.
- Слишком много исключений. Фильтр отключён на половине сайта ради удобства — защита фиктивна.
- Нет OTP на администраторах. Самые ценные аккаунты защищены одним паролем.
- Никто не читает журнал. Атаки и ложные срабатывания копятся незамеченными.
- Ставка только на проактивную защиту. Обновления и настройку сервера игнорируют, оставляя известные дыры.
- Избыточные права. У сотрудников больше прав, чем нужно, — урон при компрометации максимален.
Чек-лист настройки
- Целевой уровень выбран. Определён нужный уровень безопасности исходя из чувствительности данных.
- Фильтр внедрён поэтапно. Включён, обкатан по журналу, настроены исключения, переведён в блокировку.
- Исключения минимальны. Каждое обосновано и задокументировано.
- Сессии и панель защищены. Защита сессий, ограничение доступа в админку, требования к паролям.
- OTP включён. Двухфакторная аутентификация на аккаунтах с высокими правами.
- Права минимальны. Принцип наименьших привилегий, запрет исполнения загруженных файлов.
- Журнал под наблюдением. Настроен регулярный просмотр журнала вторжений.
- Фундамент в порядке. Обновления, версия PHP, права на файлы и внешний WAF на месте.
Вывод
Проактивная защита в 1С-Битрикс — это мощный, но часто спящий инструмент. Установленный модуль сам по себе не защищает; его нужно осознанно настроить: включить проактивный фильтр поэтапно, довести уровень безопасности до боевого, защитить сессии и панель, включить одноразовые пароли и регулярно читать журнал вторжений.
При этом помните о слоях: проактивная защита закрывает уровень приложения, но работает только вместе с обновлениями, настройкой окружения, безопасным кодом и внешним WAF. Настроенный по этим шагам контур гасит основной поток массовых атак и резко снижает риск того, что случайный бот превратит ваш сайт в проблему. Безопасность — это процесс, и проактивная защита должна быть его постоянной, а не разовой частью.
