Практический разбор · 1С-Битрикс: Управление сайтом
Подозрительные файлы на 1С-Битрикс: проверка целостности и дальнейшие действия
Сканер и контроль целостности помогают найти подозрительные изменения в 1С-Битрикс, но результаты требуют проверки специалистом. Сохраните журналы и копию состояния до очистки, затем установите причину и восстановите доверенные файлы.
Кому нужно проверить
Администраторам 1С-Битрикс и специалистам, реагирующим на предупреждения сканера, антивируса или контроля целостности. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Изменённый файл может быть легитимным обновлением, локальной доработкой или следствием компрометации. Немедленное удаление без сохранения исходного состояния затрудняет расследование, а восстановление из заражённой копии возвращает вредоносный код.
Затронутые версии
Руководство относится к самостоятельно размещённому продукту «1С-Битрикс: Управление сайтом». Состав доступных средств зависит от редакции, настроек и версии; встроенная проверка не гарантирует обнаружение всех типов вредоносного кода.
Исправленные версии
Универсальной исправленной версии нет. Обновите продукт и уязвимые компоненты после установления причины; обнаружение подозрительных файлов само по себе не устраняет компрометацию.
Что сделать
- 1Зафиксируйте предупреждение: путь, время обнаружения, контрольную сумму при наличии и контекст последнего обновления. Не публикуйте секреты, содержимое конфигурации или персональные данные в обращениях.
- 2До очистки сохраните журналы веб-сервера и приложения, копию базы данных и файлов в защищённое место. Ограничьте доступ к копии и не размещайте её в общедоступном каталоге.
- 3Сравните файл с доверенным источником именно той же версии продукта или модуля. Учитывайте локальные изменения и подтверждайте выводы с разработчиком или ответственным администратором.
- 4Если признаки компрометации подтверждаются, ограничьте административный доступ и при необходимости временно изолируйте узел. Восстанавливайте чистые файлы из проверенного дистрибутива или резервной копии после анализа точки проникновения.
- 5После восстановления обновите уязвимые компоненты, смените привилегированные пароли и ключи, проверьте пользователей и интеграции, затем повторите проверку и наблюдайте журналы.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.