Практический разбор · 1С-Битрикс: Управление сайтом
Сканер безопасности и проактивный фильтр 1С-Битрикс: настройка и ограничения
Встроенные сканер и проактивный фильтр помогают выявлять часть проблем и подозрительных запросов в 1С-Битрикс. Разберите результаты, проверьте исключения и не рассматривайте фильтр как замену обновлению ядра и модулей.
Кому нужно проверить
Администраторам сайтов на 1С-Битрикс: Управление сайтом, техническим специалистам и веб-студиям. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Ошибочная настройка исключений или отключённая защита может оставить часть запросов без фильтрации. Автоматическая активная реакция и блокировка IP способны затронуть легитимных посетителей; фильтр также не обнаруживает все дефекты приложений.
Затронутые версии
Руководство относится к продукту «1С-Битрикс: Управление сайтом», а не к облачному Битрикс24. Доступность инструментов зависит от редакции; документация указывает, что сканер безопасности и проактивный фильтр недоступны в редакции Старт.
Исправленные версии
Единой исправленной версии нет. Устанавливайте доступные обновления продукта и компонентов; настройки сканера и фильтра являются дополнительными мерами и не исправляют уязвимый код.
Что сделать
- 1Уточните редакцию продукта и откройте раздел «Настройки → Проактивная защита». Проверьте доступность инструментов и актуальность самого продукта.
- 2Запустите сканер безопасности и изучите каждую рекомендацию. Документация указывает, что для статического анализа необходимо установленное и включённое PHP-расширение tokenizer; отсутствие замечаний не доказывает отсутствие уязвимостей.
- 3Проверьте, включён ли проактивный фильтр, и изучите его журнал и настройки активной реакции. Сначала оцените влияние преобразования или очистки данных на формы и интеграции.
- 4Проверьте список исключений фильтра: каждое исключение уменьшает область действия защиты. Не добавляйте широкие маски без обоснования и проверки затронутых маршрутов.
- 5Проверьте изменения на тестовой копии, затем повторите штатные сценарии сайта и интеграций. Исправляйте первопричины, обновляя ядро и модули; не полагайтесь на фильтрацию как на виртуальный патч без оценки конкретного риска.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.