Администрирование · 12 мин
Как в 1С заблокировать работу с внешними ресурсами
Как в 1С заблокировать работу с внешними ресурсами: защита от опасных действий, запрет внешних обработок, компонент и доступа в интернет. Пошаговые инструкции.
Запуск внешних обработок, подключение внешних компонент, обращение к интернет-ресурсам и выполнение произвольного кода — типовые векторы, через которые в базу 1С попадают вредоносные скрипты, шифровальщики и средства кражи данных. Задача администратора — ограничить эти возможности так, чтобы штатная работа пользователей не нарушилась, а произвольный внешний код выполняться не мог.
Платформа 1С:Предприятие предоставляет для этого несколько независимых механизмов: защиту от опасных действий, разделение прав через роли, профили безопасности кластера серверов и настройки публикации на веб-сервере. Они дополняют друг друга, и отключать или включать их нужно осознанно — слишком широкий запрет ломает регламентные операции, а слишком слабый оставляет базу открытой.
Ниже разобраны практические способы блокировки: от простой настройки для файловой базы до профилей безопасности на сервере 1С. Отдельно рассмотрены проверка результата, типичные ошибки и ограничения каждого подхода.
Что именно считается внешними ресурсами в 1С
Под внешними ресурсами в контексте безопасности 1С обычно понимают: внешние обработки и отчёты (файлы .epf и .erf), внешние компоненты (DLL, подключаемые через ПодключитьВнешнююКомпоненту), доступ к файловой системе за пределами разрешённых каталогов, сетевые соединения (HTTP, FTP, COM, OLE), запуск приложений операционной системы и выполнение произвольного кода через метод Выполнить() или консоль кода.
Каждый из этих каналов управляется своим набором настроек. Например, открытие файла .epf пользователем контролируется правом «Интерактивное открытие внешних обработок», а обращение сервера к интернету — профилем безопасности кластера. Поэтому перед настройкой полезно составить список того, что конкретно требуется запретить: только запуск пользовательских обработок, только сетевые вызовы или всё вместе.
Блокировка через роли и права пользователей
Первый уровень защиты — права в конфигурации. В типовых конфигурациях на базе БСП (Библиотека стандартных подсистем) есть отдельные роли и права, отвечающие за работу с внешними объектами. Ключевые из них: «Интерактивное открытие внешних отчетов и обработок», «Дополнительные отчеты и обработки», а также право «Вывод» и административные роли, дающие доступ к консоли кода.
Чтобы запретить пользователю открывать внешние файлы через меню «Файл — Открыть», снимите с его ролей право интерактивного открытия внешних обработок и отчётов. В конфигураторе это делается в свойствах роли на закладке «Права», в типовых решениях — через профили групп доступа в разделе администрирования. После изменения прав пользователю нужно перезапустить сеанс, иначе старые права продолжат действовать.
Учтите, что право «Администрирование» и режим «Толстый клиент» с конфигуратором фактически обходят тонкие настройки: пользователь с полными правами всегда сможет открыть внешний файл. Поэтому полные права должны быть только у узкого круга администраторов, а рядовые пользователи работают под ограниченными профилями.
- 1Откройте конфигуратор и найдите роли, назначенные пользователю
- 2Снимите флажки «Интерактивное открытие внешних обработок» и «Интерактивное открытие внешних отчётов»
- 3Обновите конфигурацию базы данных
- 4Попросите пользователя завершить сеанс и войти заново
- 5Проверьте: меню «Файл — Открыть» для .epf должно выдавать отказ в доступе
Защита от опасных действий: настройка и тонкости
Механизм защиты от опасных действий включён по умолчанию и заставляет платформу спрашивать подтверждение при открытии внешних обработок, обращении к файловой системе и запуске приложений. Проблема в том, что многие администраторы и разработчики отключают его «для удобства» — и этим снимают важный барьер.
Отключить защиту можно несколькими способами: галочкой «Защита от опасных действий» в параметрах пользователя в конфигураторе, параметром DisableUnsafeActionProtection в файле conf.cfg или в строке запуска. Если в вашей базе эта защита отключена глобально, любой пользователь может запустить внешний код без единого предупреждения. Проверьте файл conf.cfg в каталоге конфигурации платформы и каталоге базы: строка DisableUnsafeActionProtection=1 означает, что защита выключена.
Правильная стратегия — оставить защиту включённой для всех пользователей, а для отдельных доверенных механизмов (например, подписанных дополнительных обработок из справочника «Дополнительные отчеты и обработки») использовать штатные средства БСП, которые работают в безопасном режиме и не требуют отключения защиты целиком.
Профили безопасности на сервере 1С
В клиент-серверном варианте главный инструмент ограничения внешних ресурсов — профили безопасности кластера. Они настраиваются в консоли администрирования сервера 1С и определяют, какие каталоги файловой системы, COM-объекты, внешние компоненты, внешние модули и сетевые ресурсы доступны коду, выполняющемуся на сервере.
Чтобы включить механизм, в свойствах кластера установите флажок «Профили безопасности», создайте профиль и назначьте его информационной базе. Внутри профиля по умолчанию всё запрещено; вы явно разрешаете только нужное: конкретные каталоги (например, папку обмена), конкретные внешние компоненты, конкретные интернет-ресурсы по маске адреса.
Это самый надёжный способ заблокировать обращения к внешним ресурсам с сервера: даже если вредоносный код каким-то образом окажется выполнен в контексте сервера, он не сможет прочитать файлы за пределами разрешённых каталогов или открыть сетевое соединение, не описанное в профиле.
Чем блокировать: сравнение подходов
Подходит для запрета интерактивных действий пользователей. Ограничение: не защищает от кода, выполняемого на сервере, и обходится полными правами.
Подходит как базовый барьер на клиенте. Ограничение: пользователь может сам подтвердить опасное действие, а администратор — случайно отключить защиту.
Подходят для серверной защиты файловой системы и сети. Ограничение: работают только в клиент-серверном варианте и требуют аккуратного перечисления разрешённых ресурсов.
Дополняют механизмы 1С: запрет запуска исполняемых файлов, контроль сети. Ограничение: не различают логику внутри 1С.
Запрет внешних обработок и компонент в тонком клиенте
Даже при настроенных ролях остаются сценарии, которые стоит закрыть отдельно. Во-первых, дополнительные отчеты и обработки из справочника БСП: ограничьте круг пользователей, которые могут добавлять туда новые элементы, и включите контроль безопасного режима выполнения. Во-вторых, внешние компоненты: разрешайте установку только из макетов конфигурации, а не из произвольных файлов.
Для файловой базы, где профили безопасности недоступны, дополнительный уровень дают средства операционной системы: запрет пользователям на запуск исполняемых файлов из временных каталогов (через SRP или AppLocker), ограничение прав на каталог базы и сетевой экран, блокирующий исходящие соединения процесса 1cv8.exe туда, где они не нужны.
Отдельно проверьте публикации на веб-сервере: если база опубликована, убедитесь, что в файле default.vrd не открыты лишние точки входа (HTTP-сервисы, расширения веб-сервисов), а доступ к публикации ограничен аутентификацией.
Проверка результата и контроль
После настройки обязательно проверьте блокировку от лица обычного пользователя, а не администратора. Попробуйте открыть внешнюю обработку через «Файл — Открыть», запустить обработку, обращающуюся к файловой системе, и выполнить сетевой запрос из регламентного задания. Каждое действие должно завершаться отказом в доступе или предупреждением защиты.
Полезно периодически просматривать журнал регистрации: отказы в доступе и ошибки безопасного режима покажут, где пользователи или код пытаются обратиться к запрещённым ресурсам. Регулярные попытки из одного сеанса — повод разобраться, что именно запускает пользователь или какая обработка этого требует.
Как проверить результат
Отказ в доступе или окно защиты от опасных действий
Обработка открывается без вопросов
Строка DisableUnsafeActionProtection отсутствует или равна 0
DisableUnsafeActionProtection=1 — защита отключена глобально
Профиль назначен, разрешены только нужные каталоги и ресурсы
Профиль не назначен, механизм профилей выключен
Нет права интерактивного открытия внешних обработок
Право есть у всех ролей, включая базовые
Типичные ошибки при настройке блокировки
Ещё одна частая ошибка — запрет «в лоб», из-за которого перестают работать штатные механизмы: обмены с банками, ЭДО, загрузка курсов валют, автообновление конфигурации. Перед включением ограничений составьте список легитимных внешних обращений базы и явно разрешите их в профиле безопасности или правилах сетевого экрана. Признаком чрезмерного запрета служат массовые ошибки в журнале регистрации у регламентных заданий.
FAQ
Можно ли заблокировать внешние обработки только для части пользователей?
Да. Права на интерактивное открытие внешних обработок и отчётов задаются на уровне ролей и профилей групп доступа, поэтому можно оставить возможность, например, старшему бухгалтеру и запретить остальным. Профили безопасности кластера, напротив, действуют на всю информационную базу целиком.
Почему после снятия права пользователь всё равно открывает обработку?
Наиболее вероятные причины: у пользователя есть другая роль с этим правом (права суммируются), у него полные права, либо он не перезапустил сеанс после изменения настроек. Проверьте итоговый состав ролей и завершите все его сеансы принудительно.
Работает ли защита от опасных действий в файловой базе?
Да, механизм работает и в файловом варианте — предупреждения выдаются на клиенте. Но профили безопасности кластера в файловой базе недоступны, поэтому ограничение файловой системы и сети придётся реализовывать средствами операционной системы.
Как разрешить одну конкретную внешнюю обработку при общем запрете?
Штатный путь — добавить её в справочник «Дополнительные отчеты и обработки» (в конфигурациях на БСП): такие объекты хранятся в базе, проходят проверку при записи и выполняются в безопасном режиме. Прямое открытие файла .epf при снятом праве останется запрещённым.
Заблокирует ли профиль безопасности обращения к интернету из регламентных заданий?
Да, если в профиле не разрешён доступ к соответствующим интернет-ресурсам, сетевые вызовы с сервера будут отклоняться. Поэтому адреса сервисов, с которыми база обменивается данными (банки, ЭДО, обновления), нужно заранее внести в список разрешённых.
Чем опасна обработка, требующая отключить защиту от опасных действий?
Такое требование означает, что код выполняет действия, которые платформа считает рискованными: запись файлов, запуск программ, сетевые обращения. Перед использованием откройте модуль обработки в конфигураторе и проверьте, какие именно операции она выполняет и куда передаёт данные.
Что важно запомнить
Надёжная блокировка внешних ресурсов в 1С строится слоями: роли и права ограничивают интерактивные действия, защита от опасных действий предупреждает о рискованных операциях, профили безопасности кластера закрывают файловую систему и сеть на сервере. Не отключайте защиту глобально, не раздавайте полные права и после настройки проверяйте результат от имени обычного пользователя.