Налаштування політик безпеки 1С-Бітрікс

Налаштування політик безпеки 1С-Бітрікс

Політики безпеки в Бітрікс — це не абстрактний розділ документації, а конкретні параметри, які безпосередньо впливають на те, наскільки легко зламати акаунт користувача або адміністратора. За замовчуванням багато з них виставлені в щадному режимі — для зручності розробки, а не захисту.

Політики паролів

Налаштовуються в Налаштування → Політики паролів. Кожна політика прив'язується до груп користувачів. Для адміністраторів та менеджерів — окрема політика з максимальними вимогами.

Ключові параметри:

• Мінімальна довжина — рекомендується не менше 10 символів для співробітників, 12 для адміністраторів
• Обов'язкові символи — малі, великі літери, цифри, спецсимволи
• Термін дії пароля — примусова зміна через N днів. Для групи «Адміністратори» — 90 днів
• Історія паролів — заборона повторного використання останніх N паролів (рекомендується: 5–10)
• Кількість спроб — блокування після N невдалих спроб (b_user_auth_attempts)

Налаштування сесій і авторизації

Налаштування → Головний модуль → Безпека:

• Час життя сесії — за замовчуванням збігається з session.gc_maxlifetime у PHP. Для адміністративного розділу рекомендується 30–60 хвилин
• «Запам'ятати мене» — вимкніть або скоротіть термін до 7–14 днів. Довгоживучі куки — вектор атаки при компрометації пристрою
• Прив'язка сесії до IP — увімкніть BX_SECURITY_SESSION_VIRTUAL_DIRECTORY та перевірку IP. Обережно: у мобільних користувачів IP може змінюватися

Захист адміністративного розділу

Обмеження доступу до /bitrix/admin/ за IP — додайте в .htaccess або конфігурацію nginx:

location /bitrix/admin/ {
    allow 192.168.1.0/24;
    allow 203.0.113.10;
    deny all;
}

Зміна URL адміністративного розділу через модуль «Проактивний захист» (Безпека → Проактивний захист → Захист адміністративного розділу) — додає секретний префікс до шляху.

Випадок з практики

Корпоративний портал на Бітрікс24 Коробка. Користувач з правами менеджера залишив сесію відкритою на робочому комп'ютері та пішов у відпустку. Колега отримав доступ до його акаунту. Рішення: налаштування політики з обмеженням часу неактивної сесії до 2 годин та обов'язковим виходом при закритті браузера (session.cookie_lifetime = 0).

Терміни виконання

Аудит поточних політик та налаштування під вимоги безпеки — 3–5 годин.