Настройка проактивной защиты 1С-Битрикс

Настройка проактивной защиты 1С-Битрикс

Проактивная защита в Битрикс — встроенный модуль security, который анализирует входящие запросы и блокирует попытки XSS, SQL-инъекций, CSRF и ряда других атак на уровне приложения. При неправильной настройке — либо не защищает, либо блокирует легитимные запросы.

Компоненты модуля безопасности

Модуль security включает несколько подсистем, каждая настраивается отдельно в Настройки → Проактивная защита:

• Проактивный фильтр — анализ GET/POST-параметров на паттерны атак
• Веб-антивирус (WAF) — расширенная фильтрация с сигнатурным анализом
• Контроль активности — обнаружение аномально частых запросов с одного IP
• Стоп-лист — ручное и автоматическое добавление IP в блок
• Журнал вторжений — таблица b_security_log в БД

Настройка проактивного фильтра

Безопасность → Проактивная защита → Проактивный фильтр:

Режим работы:

• Отключён — только журналирование без блокировки (используйте при первоначальной настройке)
• Активен — блокировка подозрительных запросов с редиректом на страницу ошибки
• Параноидальный — дополнительные проверки, возможны ложные срабатывания

Рекомендуемый порядок: сначала включите в режиме журналирования на 3–7 дней, изучите логи, исключите легитимные запросы, затем переключите в активный режим.

Исключения: адреса /bitrix/admin/, API-эндпоинты, пути к загрузке файлов часто вызывают срабатывания. Добавляйте исключения по конкретным URI, а не маскам.

Контроль активности и стоп-лист

Безопасность → Контроль активности — задайте пороги:

• Максимальное число запросов с одного IP за период
• Действие при превышении: редирект, CAPTCHA, блокировка

Заблокированные IP попадают в b_security_stop_list. Автоматическую разблокировку настройте через агент \Bitrix\Security\Stoplist::clearOldRecords().

Случай из практики

Интернет-магазин, атака на форму поиска: в параметр q передавались SQL-фрагменты (' OR 1=1 --). Встроенный Битрикс-фильтр не сработал — фильтр был включён в режиме журналирования и никогда не переключался в активный. Журнал b_security_log содержал 800+ записей за день. После переключения в активный режим и добавления атакующего IP в стоп-лист атака прекратилась.

Журнал и мониторинг

Регулярно проверяйте b_security_log — запросы с SEVERITY = 'CRITICAL' требуют немедленного разбора. Настройте уведомления на почту через почтовое событие SECURITY_CRITICAL_EVENT (создаётся вручную через Настройки → Почтовые события).

Сроки выполнения

Настройка проактивной защиты с анализом логов и конфигурацией исключений — 4–8 часов в зависимости от сложности проекта.