Налаштування проактивного захисту 1С-Бітрікс
Проактивний захист у Бітрікс — це вбудований модуль security, який аналізує вхідні запити та блокує спроби XSS, SQL-ін'єкцій, CSRF та інших атак на рівні застосунку. При неправильному налаштуванні — або не захищає, або блокує легітимні запити.
Компоненти модуля безпеки
Модуль security містить кілька підсистем, кожна налаштовується окремо в Налаштування → Проактивний захист:
- Проактивний фільтр — аналіз GET/POST-параметрів на паттерни атак
- Веб-антивірус (WAF) — розширена фільтрація з сигнатурним аналізом
- Контроль активності — виявлення аномально частих запитів з одного IP
- Стоп-список — ручне та автоматичне блокування IP
-
Журнал вторгнень — таблиця
b_security_logу БД
Налаштування проактивного фільтра
Безпека → Проактивний захист → Проактивний фільтр:
Режим роботи:
-
Вимкнено— лише журналювання без блокування (використовуйте при початковому налаштуванні) -
Активний— блокування підозрілих запитів із перенаправленням на сторінку помилки -
Параноїдальний— додаткові перевірки, можливі хибні спрацювання
Рекомендований порядок: спочатку ввімкніть у режимі журналювання на 3–7 днів, вивчіть логи, виключіть легітимні запити, потім переключіть в активний режим.
Виключення: адреси /bitrix/admin/, API-ендпоінти, шляхи до завантаження файлів часто викликають спрацювання. Додавайте виключення за конкретними URI, а не масками.
Контроль активності та стоп-список
Безпека → Контроль активності — задайте пороги:
- Максимальна кількість запитів з одного IP за період
- Дія при перевищенні: перенаправлення, CAPTCHA, блокування
Заблоковані IP потрапляють до b_security_stop_list. Автоматичне розблокування налаштуйте через агент \Bitrix\Security\Stoplist::clearOldRecords().
Випадок із практики
Інтернет-магазин, атака на форму пошуку: у параметр q передавалися SQL-фрагменти (' OR 1=1 --). Вбудований фільтр Бітрікс не спрацював — фільтр був увімкнений у режимі журналювання і ніколи не перемикався в активний. Журнал b_security_log містив 800+ записів за день. Після переключення в активний режим і додавання IP зловмисника до стоп-списку атака припинилася.
Журнал і моніторинг
Регулярно перевіряйте b_security_log — записи з SEVERITY = 'CRITICAL' потребують негайного розбору. Налаштуйте сповіщення на пошту через поштову подію SECURITY_CRITICAL_EVENT (створюється вручну через Налаштування → Поштові події).
Терміни виконання
Налаштування проактивного захисту з аналізом логів і конфігурацією виключень — 4–8 годин залежно від складності проєкту.