Коробочная версия Битрикс24 работает в инфраструктуре компании, поэтому нужно защищать ее серверы, сеть и устройства сотрудников. Внешние средства защиты помогают блокировать подозрительные запросы, проверять загружаемые файлы на вирусы, предотвращать утечки корпоративных данных и замечать попытки взлома.

Какие есть способы дополнительной защиты

Набор средств зависит от данных компании, способов доступа сотрудников к Битрикс24 и требований к защите информации. Подключить средства защиты к Битрикс24 может специалист по информационной безопасности компании или интегратор.

Проверка сетевых запросов к Битрикс24 (WAF)

Межсетевой экран для веб-приложений (WAF) проверяет запросы к Битрикс24 и отклоняет подозрительные еще до того, как они попадут на сервер. Например, отклонит запрос, который пытается внедрить вредоносный код через форму на странице.

WAF устанавливают перед веб-серверами: пользователи подключаются к WAF, а серверы Битрикс24 принимают запросы только от него. Архитектура вашего Битрикс24 может включать дополнительные серверы, например Push&Pull для мгновенных сообщений. Поэтому при интеграции с WAF необходимо настроить верную маршрутизацию трафика. Также важно учитывать производительность WAF и настроить исключения для видеозвонков и других высоконагруженных потоковых сервисов.

Что важно знать:

• Начните с режима мониторинга. WAF работает в двух режимах: в режиме мониторинга он только записывает подозрительные запросы, в режиме блокировки — отклоняет их. Это поможет понять, какие действия сотрудников экран ошибочно считает опасными, и настроить исключения.
• Настройте правила для форм входа, раздела администрирования, загрузки файлов и интеграций. Правила должны защищать эти места, но не блокировать загрузку файлов, обмен данными с интеграциями и фоновые задачи.
• Ограничьте доступ к разделу администрирования. Лучше открыть его только из внутренней сети компании или через защищенное подключение (VPN).
• Сохраняйте записи о срабатываниях. Собирайте их вместе с другими событиями безопасности, например в SIEM (о нем — ниже). Так проще разбираться в инцидентах.

Внешний WAF можно использовать вместе с Проактивным фильтром. Проактивный фильтр входит в Битрикс24 и учитывает особенности его работы.
Как включить Проактивный фильтр

Если обновить Битрикс24 сразу не получается, WAF поможет отразить часть атак через известные уязвимости. Обновление все равно нужно установить: WAF не устраняет уязвимости и не гарантирует защиту.

Проверка файлов на вирусы

Чтобы зараженные файлы не попали к другим пользователям, установите антивирус на сервер. Он будет проверять документы, изображения и архивы, которые сотрудники загружают в Битрикс24.

Что важно знать:

• Для загружаемых файлов используйте антивирус. Проверка архивов может замедлить работу, поэтому глубину проверки и максимальный размер архивов можно настроить.
• Для файлов самого Битрикс24 и доработок используйте контроль целостности, проверку изменений и сканирование по расписанию.
• Делайте исключения только для служебных данных. К ним относятся, например, временные файлы (кэш) и журналы. При этом запись и изменение этих данных должны быть разрешены только системной учетной записи.

Предотвращение утечек данных (DLP)

Средство предотвращения утечек (DLP) следит, чтобы важные данные не уходили за пределы компании. Например, при интеграции с Битрикс24 DLP может обнаружить или заблокировать попытку отправить письмо с клиентской базой на личный адрес.

Что важно знать:

• Перед выбором DLP решите, какие данные важны для компании и через какие каналы сотрудники ими обмениваются.
• В зависимости от решения DLP может контролировать отправку писем, сохранение файлов или выгрузку данных в Битрикс24.
• Подключить DLP можно двумя способами: через готовое решение от разработчика DLP или через доработку от интегратора.

Сбор и анализ событий безопасности (SIEM)

SIEM собирает события безопасности из разных сервисов компании в одном месте. Это помогает быстрее замечать подозрительную активность, например множество неудачных попыток входа, и разбираться в инцидентах.

Какие данные из Битрикс24 передают в SIEM:

• журнал событий — в него Битрикс24 записывает попытки входа, действия пользователей и системные ошибки,
• журналы веб-сервера — в них попадают сбои, которых нет в журнале событий,
• журналы обновлений и резервного копирования — помогают заметить неожиданные изменения файлов,
• состояние фоновых задач — если задачи зависнут, сбои могут не попасть в оповещения.

Чтобы передавать эти данные в SIEM, необходимо настроить коннекторы — программные скрипты, которые читают файлы журналов и отправляют данные из них (обычно по протоколу syslog).

Управление учетными записями и единый вход (SSO)

Централизованное управление учетными записями позволяет хранить их в одном каталоге, применять единые правила для паролей и быстро отключать доступ при увольнении.

В зависимости от версии и конфигурации в коробочном Битрикс24 доступны базовые инструменты:

• Интеграция с Active Directory и LDAP. Active Directory и другие службы каталогов, которые работают по протоколу LDAP, хранят учетные записи сотрудников компании. Битрикс24 подключается к такому каталогу и синхронизирует из него сотрудников, а при необходимости — и структуру компании.
  Интеграция Битрикс24 с Active Directory и LDAP
• Автоматический вход через домен (NTLM). Сотрудник, который уже вошел в рабочий компьютер под доменной учетной записью, попадает в Битрикс24 без повторного ввода пароля.
• Двухэтапная аутентификация.

Для других способов входа, например через корпоративный сервис единого входа, есть готовые решения в Маркетплейсе.
Решения для входа и регистрации пользователей

Управление мобильными устройствами (MDM)

Мобильное приложение Битрикс24 — такой же рабочий инструмент, как корпоративный компьютер: через него сотрудники получают доступ к переписке, документам, задачам и данным CRM. Поэтому важно защищать и сам смартфон. Для этого используйте средства управления мобильными устройствами (MDM).

MDM позволяет:

• запретить передавать рабочие данные в личные приложения,
• исключить рабочие данные из резервных копий устройства,
• при потере устройства отозвать доступ: удалить настройки защищенного подключения к сети компании (VPN), сертификаты и завершить сессии,
• оставить на корпоративном устройстве только Битрикс24 и нужные приложения, например камеру и приложение для просмотра документов.

Правила MDM настраивают отдельно для разных групп устройств: личных гаджетов сотрудников, корпоративных телефонов, общих терминалов.

MDM не заменяет настройки в самом Битрикс24. Даже если на телефоне работает только Битрикс24, права доступа в нем все равно нужно настраивать.
Как защитить данные в мобильном приложении Битрикс24

Защита собственных доработок

Если в Битрикс24 есть собственные доработки, их тоже нужно защитить. Для этого используйте встроенные инструменты безопасности Bitrix Framework — платформы, на которой работает Битрикс24. Они помогают предотвратить типовые атаки, например попытки внедрить вредоносный код в страницы или запросы к базе данных.
Документация Bitrix Framework по безопасности

Как подключить средства защиты

Подключение внешних средств защиты — это отдельный проект. Универсальной схемы нет: подключение зависит от версии и редакции Битрикс24, сети, интеграций и возможностей выбранного средства. Спроектировать схему лучше вместе с интегратором, у которого есть опыт работы с нужным классом средств защиты и с Битрикс24. Найти партнера можно в каталоге: в фильтре Вид продукта выберите Коробочная версия.
Выбрать партнера по внедрению

Порядок подключения средств защиты:

1. Соберите исходные данные для интегратора. Отметьте, кто и откуда подключается к Битрикс24: из интернета или из внутренней сети. Перечислите, какие данные в нем важны для компании и какие интеграции работают.
2. Выберите средства защиты вместе с интегратором. Он сравнит возможности решений с требованиями компании и предложит подходящие.
3. Спроектируйте интеграцию. Партнер должен учесть специфику вашего ИТ-ландшафта, настройки системных компонентов, требования законодательства и внутренней документации по информационной безопасности.
4. Проведите тестирование. Убедитесь, что средства защиты не блокируют нужные действия и не замедляют работу Битрикс24. Например, WAF стоит оставить в режиме мониторинга на несколько недель и разобрать все ложные срабатывания. Если тестового сервера нет, обсудите с интегратором, где провести проверку.
5. Запустите решение в рабочей среде. Регулярно уточняйте настройки и правила работы средств защиты при изменениях в ИТ-инфраструктуре.

По итогам проекта у вас должны остаться документация по схеме защиты, результаты тестирования и инструкции для администраторов.