Внешняя обработка для быстрого аудита пользователей, ролей и очевидных рисков доступа в базе 1С. Основной сценарий простой: открыть обработку, нажать “Выполнить аудит” и получить таблицу пользователей с признаками риска, кратким пояснением и рекомендацией для проверки.
Обработка не изменяет пользователей, роли, права и данные. Она предназначена для первичной проверки базы: быстро увидеть, у кого есть Полные права, риск-роли, возможность открытия внешних обработок, технические учетные записи и другие признаки, которые стоит проверить администратору или ответственному за сопровождение.
Для каких задач подходит
- быстро посмотреть пользователей с повышенными правами;
- найти учетные записи с Полными правами;
- увидеть пользователей с риск-ролями по настраиваемым маскам;
- проверить, у кого есть возможность открытия внешних отчетов и обработок;
- найти технические учетные записи по маскам;
- проверить технические учетные записи с интерактивным входом;
- посмотреть дату последнего входа через журнал регистрации;
- дополнить сведения пользователями БСП, если справочник доступен;
- посмотреть последние значимые события выбранного пользователя в журнале регистрации.
Обработка не заменяет полноценный аудит информационной безопасности, но помогает быстро найти очевидные места, которые стоит проверить в первую очередь.
Что показывает обработка
В основной таблице выводятся пользователи информационной базы и краткие признаки:
- активность учетной записи;
- признак технической учетной записи;
- наличие связанного пользователя БСП;
- аутентификация 1С и ОС;
- наличие интерактивного входа;
- последний вход за выбранный период;
- количество ролей;
- наличие Полных прав;
- риск-роли;
- право открытия внешних отчетов и обработок;
- уровень риска, код риска и краткое пояснение.
Длинные сведения не выводятся в основную таблицу, чтобы она не превращалась в “простыню”. Для выбранного пользователя есть отдельный блок деталей с вкладками.
Детали выбранного пользователя
В нижней части формы отображаются подробности по выбранной строке. Детали разделены по вкладкам, чтобы не приходилось прокручивать длинный список полей.
- Риск — описание найденного риска, рекомендация и комментарий проверки;
- Роли — полный список ролей, риск-роли и роли открытия внешних отчетов и обработок;
- Вход и БСП — дата последнего входа, пояснение по журналу регистрации и сведения пользователя БСП;
- Активность — последние значимые события выбранной учетной записи в журнале регистрации;
- Тех. признаки — признаки технической учетной записи и сведения по аутентификации.
Проверка Полных прав и риск-ролей
Обработка анализирует назначенные пользователю роли. Если среди ролей обнаружены Полные права, пользователь получает высокий риск.
Риск-роли определяются по маскам. Маски можно настроить на форме. Например, можно искать роли, связанные с администрированием, полными правами, настройками, безопасностью или другими признаками, которые в вашей базе считаются чувствительными.
Рекомендации формулируются осторожно: обработка не предлагает автоматически снять права или отключить пользователя. Она показывает, что именно стоит проверить: необходимость прав, владельца учетной записи и соответствие ролей обязанностям пользователя.
Открытие внешних отчетов и обработок
Отдельно проверяется наличие ролей, похожих на разрешение интерактивного открытия внешних отчетов и обработок. Это полезно для первичного аудита, потому что такое право часто требует отдельного контроля.
Проверка выполняется по маскам ролей. Полные права не считаются автоматическим подтверждением этого признака: право открытия внешних определяется именно по найденным ролям/маскам.
Технические учетные записи
Технические учетные записи определяются по маскам. По умолчанию используются маски вроде:
*svc*; *service*; *robot*; *робот*; *обмен*; *интеграц*; *api*; *сервис*
Проверяются имя пользователя, полное имя и пользователь ОС, если он доступен. Если найдено совпадение, в деталях показывается, по какой маске и по какому полю обнаружен признак.
Если учетная запись похожа на техническую и при этом для нее доступен интерактивный вход, обработка выделяет это как высокий риск. Формулировка намеренно осторожная: учетная запись “похожа на техническую”, потому что определение выполняется по маскам.
Последний вход через журнал регистрации
Обработка может определить дату последнего входа пользователя через журнал регистрации. Проверяется только выбранный период, максимум 90 дней.
Если в таблице указано “Нет за период”, это не означает, что пользователь никогда не входил. Это означает только то, что за выбранный период в журнале регистрации не найдено подходящее событие входа.
Если журнал регистрации недоступен, обработка не падает и не делает ложный вывод о давнем входе. В таком случае дата помечается как непроверенная, а остальные проверки продолжают работать.
Активность в журнале регистрации
По выбранному пользователю можно нажать кнопку “Активность в ЖР”. Обработка покажет последние значимые события, записанные в журнале регистрации под выбранной учетной записью.
Это не полный поведенческий аудит пользователя и не замена специализированным ИБ-системам. Это удобная выжимка из ЖР, чтобы быстро понять, были ли входы, подключения внешних обработок, фоновые задания, изменения данных или ошибки.
Технический шум вроде транзакций и смены области данных скрывается. Вывод ограничен максимум 100 строками.
Сведения БСП
Если в базе есть справочник пользователей БСП, обработка может дополнить результат сведениями из него. Основным источником аудита остаются пользователи информационной базы. Сведения БСП используются только как дополнительная справочная информация и не меняют основной риск.
Если пользователь БСП не найден, найден неоднозначно или структура справочника отличается, обработка не должна падать. В деталях выводится понятный комментарий.
Уровни риска
В обработке используются уровни:
- Высокий — например, активный пользователь с Полными правами или техническая учетная запись с интерактивным входом;
- Средний — риск-роли, право открытия внешних обработок, большое количество ролей, давно не найден вход за выбранный период;
- Информация — сведения, которые не всегда являются проблемой, но могут быть полезны для проверки;
- Не проверено — часть данных недоступна или не удалось получить сведения.
Если у пользователя найдено несколько признаков, в основной таблице показывается один основной риск по приоритету. Дополнительные признаки остаются в деталях.
Безопасность
Обработка выполняет только чтение данных.
- не изменяет пользователей информационной базы;
- не изменяет роли и права;
- не назначает и не снимает права;
- не записывает данные в справочники, документы, регистры и бизнес-объекты;
- не изменяет настройки журнала регистрации;
- не использует внешние HTTP-запросы;
- не отправляет данные наружу.
Таблица результата предназначена только для просмотра. Пользователь не может вручную добавлять, удалять или перемещать строки результата.
Ограничения
- обработка не является полноценной DLP/ИБ-системой;
- обработка не заменяет полный аудит прав на уровне всех объектов метаданных;
- дата последнего входа зависит от доступности и настроек журнала регистрации;
- технические учетные записи определяются по маскам, поэтому результат нужно проверять вручную;
- риск-роли и роли открытия внешних обработок также определяются по маскам;
- активность в ЖР показывает последние значимые события, а не полный журнал всех действий пользователя;
- в разных конфигурациях часть сведений может быть недоступна — в этом случае обработка показывает “Не проверено” или комментарий в деталях.
Совместимость
Обработка предназначена для 1С:Предприятия 8.3 на управляемых формах. Основной ориентир — базы на БСП.
Если в конкретной базе часть сведений недоступна из-за настроек платформы, прав пользователя или структуры конфигурации, обработка должна продолжать работу и показывать доступные данные.
Как пользоваться
- Откройте внешнюю обработку в режиме предприятия.
- При необходимости скорректируйте период проверки входов и маски ролей.
- Нажмите “Выполнить аудит”.
- Посмотрите таблицу пользователей и рисков.
- Выберите пользователя и изучите детали на вкладках.
- При необходимости нажмите “Активность в ЖР” для просмотра значимых событий выбранной учетной записи.
Рекомендация перед использованием
Перед применением на рабочей базе желательно сначала запустить обработку на копии или тестовой базе, проверить маски риск-ролей и технических учетных записей, а также убедиться, что журнал регистрации доступен для чтения.
Проверено на следующих конфигурациях и релизах:
- Бухгалтерия предприятия КОРП, редакция 3.0, релизы 3.0.200.23
- Документооборот КОРП, релизы 2.1.37.5
- Управление нашей фирмой, редакция 3.0, релизы 3.0.13.363
Вступайте в нашу телеграмм-группу Инфостарт