Настройка политик безопасности 1С-Битрикс

Настройка политик безопасности 1С-Битрикс

Политики безопасности в Битрикс — это не абстрактный раздел документации, а конкретные параметры, которые напрямую влияют на то, насколько легко взломать аккаунт пользователя или администратора. По умолчанию многие из них выставлены в щадящем режиме — для удобства разработки, а не защиты.

Политики паролей

Настраиваются в Настройки → Политики паролей. Каждая политика привязывается к группам пользователей. Для администраторов и менеджеров — отдельная политика с максимальными требованиями.

Ключевые параметры:

• Минимальная длина — рекомендуется не менее 10 символов для сотрудников, 12 для администраторов
• Обязательные символы — строчные, заглавные, цифры, спецсимволы
• Срок действия пароля — принудительная смена через N дней. Для группы «Администраторы» — 90 дней
• История паролей — запрет повторного использования последних N паролей (рекомендуется: 5–10)
• Количество попыток — блокировка после N неудачных попыток (b_user_auth_attempts)

Настройки сессий и авторизации

Настройки → Главный модуль → Безопасность:

• Время жизни сессии — по умолчанию совпадает с session.gc_maxlifetime в PHP. Для административного раздела рекомендуется 30–60 минут
• «Запомнить меня» — отключите или сократите срок до 7–14 дней. Долгоживущие куки — вектор атаки при компрометации устройства
• Привязка сессии к IP — включите BX_SECURITY_SESSION_VIRTUAL_DIRECTORY и проверку IP. Осторожно: у мобильных пользователей IP может меняться

Защита административного раздела

Ограничение доступа к /bitrix/admin/ по IP — добавьте в .htaccess или конфигурацию nginx:

location /bitrix/admin/ {
    allow 192.168.1.0/24;
    allow 203.0.113.10;
    deny all;
}

Смена URL административного раздела через модуль «Проактивная защита» (Безопасность → Проактивная защита → Защита административного раздела) — добавляет секретный префикс к пути.

Случай из практики

Корпоративный портал на Битрикс24 Коробка. Пользователь с правами менеджера оставил сессию открытой на рабочем компьютере и ушёл в отпуск. Коллега получил доступ к его аккаунту. Решение: настройка политики с ограничением времени неактивной сессии до 2 часов и обязательным выходом при закрытии браузера (session.cookie_lifetime = 0).

Сроки выполнения

Аудит текущих политик и настройка под требования безопасности — 3–5 часов.