1С-Битрикс Безопасность

Как защитить данные в мобильном приложении? 🧐

👍 В мобильном приложении Битрикс24 можно запретить сотрудникам делать снимки и запись экрана, а также копировать текст. Это поможет защитить конфиденциальную информацию от утечки.

Запрет можно включить для конкретных сотрудников или всего отдела. Например, для тех, кто работает с персональными данными, коммерческой тайной или другими важными документами.

Как работает защита информации?

— Запрет на скриншоты. При попытке сделать снимок или запись экрана, сотрудники увидят сообщение о запрете. Снимок или видео не сохранятся.

— Запрет на копирование текста. Сотрудники смогут пересылать друг другу сообщения внутри приложения, но не смогут копировать и отправлять текст за пределы Битрикс24.

🔛 Включить запрет может администратор Битрикс24.

Перейдите в Настройки Битрикс24 > Безопасность > Защита информации от утечки.

👉Подробнее

Миграция, которая нужна каждому бизнесу: переход из публичного мессенджера в корпоративный ✅

Напомним, почему это важно:

📌Возможность интеграции с системами защиты и мониторинга (DLP, SIEM)
📌Контроль за вложениями, автоудаление сообщений по расписанию
📌Контроль сессий — снижает риски перехвата сеанса злоумышленником
📌Двухфакторная аутентификация — помогает усилить безопасность коммуникаций
📌Криптографическая защита — шифрование данных при передаче и хранении

А в этом посте раскрывали тему безопасности в Битрикс24 Мессенджере 👍

Что должна делать компания для безопасности работы удаленных сотрудников?

В посте выше мы рассказывали, на что обратить внимание сотрудникам.

Сегодня рассказываем, какие шаги должна предпринять компания 👇

👍 Установить антивирус и шифрование на корпоративных устройствах.
👍 Настроить VPN, двухфакторную аутентификацию при подключении и систему обнаружения угроз.
👍 Провести внутренние тренинги и тестирования.

Важно помнить, что вы можете выстроить самую надёжную систему, но, если кто-то из ваших сотрудников случайно отправит пароль в Telegram или откроет вредоносное письмо — всё рушится.

Несколько простых правил, которые можно отправить команде прямо сейчас:

— Используйте корпоративные устройства и приложения
— Подключайтесь через VPN с 2FA
— Проверяйте письма на фишинг
— Храните файлы в защищенных системах компании

Не делаем/избегаем:

— Работы с личного ПК без защиты
— Открытых сетей Wi-Fi
— Переходов по подозрительным ссылкам
— Отправки документов в личные чаты

Что делать, если что-то пошло не так:

Случайно кликнули на подозрительное письмо? Потеряли ноутбук? Отправили не тот файл?

👍 Сразу сообщить в отдел информационной безопасности. Раннее предупреждение помогает быстро предотвратить проблемы.

👉Сохраняйте этот чек-лист и делитесь с коллегами.

Эксперты «1С-Битрикс» предупреждают: бизнес сталкивается с волной атак через подстановку паролей⚡️

Летом 2025 года участились атаки на корпоративные аккаунты в различных системах с использованием уже скомпрометированных пар «логин-пароль».

Уязвимы те сотрудники, которые:
— Используют один и тот же пароль в разных сервисах;
— Используют пароли, которые уже фигурировали в базах утечек других сайтов;
— Не применяют двухфакторную аутентификацию (2FA).

Основная цель атак — получить доступ к внутренним системам и данным компании, не взламывая ничего напрямую, а просто подставляя данные для входа из ранее утёкших баз.

Как это работает?

Такие атаки не требуют взлома сервера, хитрых вирусов или социальной инженерии - они работают за счёт человеческой ошибки. Миллионы логинов и паролей из старых утечек доступны в интернете.
Злоумышленники просто автоматизируют процесс: «подставляют» эти пары, пытаясь войти в ваш корпоративный аккаунт. Если пароль повторяется и двухфакторка отключена — они получают доступ.

Как защититься
👍 Включите двухфакторную аутентификацию (2FA) — даже если пароль утёк, вход без второго фактора станет невозможен.
👍 Проверяйте ваши аккаунты по базе утечек — существуют сервисы, которые позволяют проверить, не был ли ваш email скомпрометирован.
👍 Используйте разные пароли для каждого сервиса. Никогда не повторяйте рабочий пароль в личных аккаунтах.
👍 Регулярно обновляйте программное обеспечение.
👍 Регулярно проверяйте список авторизованных устройств и отключайте лишние.

❗️И главное: обучайте сотрудников.
Многие атаки успешны не потому, что произошел взлом, а потому что кто-то когда-то ввёл один и тот же пароль в пять разных мест.

Рассылайте короткие и понятные напоминания. Внедряйте привычку думать, прежде чем задать пароль.

Мы получили официальное извещение от ФСТЭК РФ ⚡

Продукты версии 25.100.300, поддерживающие PostgreSQL Pro, успешно подтвердили выполнение требований безопасности ФСТЭК. И соответствуют четвертому уровню доверия.

Что это значит для вас?

Сертификат ФСТЭК открывает новые возможности для использования наших продуктов в различных критически важных сферах. В частности, это подтверждает, что наши решения могут быть применены в следующих областях:

👍 Значимые объекты критической информационной инфраструктуры первой категории.
👍 Государственные информационные системы первого класса.
👍 Автоматизированные системы управления производственными технологиями первого класса.
👍 ИСПДн первого уровня защиты.
👍 Для защиты информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну.

Эта сертификация является важным шагом в укреплении доверия к нашим продуктам и подтверждает их соответствие самым высоким стандартам безопасности. Мы уверены, что это достижение откроет новые горизонты для наших клиентов и партнеров, обеспечивая им уверенность в использовании наших решений.

❗️В ходе реализации программы Standoff365 Bug Bounty, которая помогает 1С-Битрикс создавать безопасные решения, мы устранили 5 уязвимостей.

👉 Настоятельно рекомендуем в кратчайшие сроки обновиться до версии 25.100.400.

🤖ИИ атакует, ИИ защищает: как использовать нейросети в ИБ

— Внимание, аномальная активность! — замигал экран.
— Это же просто обновление, — махнул рукой админ. А через 10 минут всему отделу продаж пришлось лихорадочно менять пароли.

ИИ становится полноценным игроком в области защиты безопасности — причем сразу в двух командах, атакующей и защищающейся. Разбираемся, на что способны технологии — и какие преимущества это дает специалистам по ИБ 👇

ИИ в руках хакеров — опасное оружие, главное преимущество которого — скорость:

🔹Взлом паролей в 50 раз быстрее — ИИ анализирует утечки, строит вероятностные модели и понимает, какие комбинации более характерны для конкретного человека.
🔹Вирусы-невидимки — технология пишет вредоносные коды, которые меняются при каждом запуске
🔹Автоматизация фишинга.

У человека нет скорости, которую хакерам дает ИИ — если на защите компании не стоит аналогичная технология, скорее всего, атака неизбежна.

Хорошая новость в том, что это направление активно развивается — кое-что ИИ может сделать для защиты вашей компании уже сегодня:

🔹Анализ поведения пользователей и сигнал об аномалиях.
🔹Предсказание атак — ИИ видит цепочки угроз еще до взлома.
🔹Блокировка угроз — правда, не без ошибок.

ИИ — это не «волшебная кнопка», а инструмент, эффективность которого зависит от качества данных и постоянного переобучения. Не стоит пытаться все переложить на нейросеть, важнее научиться использовать ее быстрее, глубже и умнее, чем противник.

👉 Подробнее об ИИ в ИБ и о нашем опыте рассказываем в статье.

Как работать удалённо и не стать причиной утечки данных? 💻🔒

Привет, меня зовут Роман Стрельников, я руководитель информационной безопасности Битрикс24. Многие компании работают удаленно, особенно в летний период. Кто-то работает из дома, кто-то — из кафе или на ходу. Это удобно. Но есть один нюанс: при работе вне офиса риски для информационной безопасности выше. И наша с вами задача — защитить данные компании и клиентов. Ниже расскажу основные правила👇

Почему это так важно?🤔 Хакеры просто обожают удалёнку:

— Сотрудники работают из дома, где нет защиты, как в офисе.
— Используют личные устройства, на которых нет нужных настроек безопасности.
— Могут случайно кликнуть по фишинговой ссылке, переслать документ не в тот чат или сохранить на свой облачный диск.

Всё это может привести к утечке важной информации, штрафам и даже блокировке работы компании. Вот главные угрозы и как от них защититься👇

1. Фишинг (обманные письма) ✉️
Пример: приходит письмо от «службы безопасности» с просьбой СРОЧНО сменить пароль. На самом деле — это подделка.

Что делать:
— Не переходите по ссылкам в письмах от незнакомцев.
— Внимательно проверяйте адрес отправителя (часто он похож на настоящий, но с ошибкой).
— Сомневаетесь? Спросите у коллег из ИТ или ИБ.

2. Работа с личных устройств🧑‍💻
Пример: вы зашли в рабочую почту с домашнего ноутбука, на котором ребёнок установил «лёгкий» чит-клиент с вирусом для какой-нибудь игры.

Что делать:
— Работайте только с корпоративных ноутбуков или устройств с настройками от компании.
— Обновляйте операционную систему и антивирус.
— Не устанавливайте подозрительные и «левые» программы.

3. Общественный Wi-Fi в кафе или отелях ☕️
Пример: вы подключились к бесплатному Wi-Fi в торговом центре, чтобы проверить почту. В этот момент злоумышленник перехватил ваши данные.

Что делать:
— Используйте VPN. Это как защищённый туннель в интернете.
— Избегайте открытых сетей. Надежнее раздать интернет с мобильного телефона.

4. Мессенджеры и облачные хранилища ☁️
Пример: вы отправили файл с внутренней документацией себе в Telegram «чтобы не забыть», а потом ваш аккаунт взломали.

Что делать:
— Не пересылайте рабочие файлы в личные мессенджеры и чаты.
— Храните все документы только в разрешённых системах (например, корпоративное облако).

5. Видеоконференции 📹
Пример: на онлайн-встрече с клиентом вы обсуждали внутреннюю стратегию, а к звонку незаметно подключился посторонний.

Что делать:
— Всегда проверяйте список участников перед началом конференции.
— Не обсуждайте секретные темы в открытых или подозрительных каналах.
— Созванивайтесь на корпоративном портале, например, в Битрикс24.

Случайно кликнули на подозрительное письмо? Потеряли ноутбук? Отправили не тот файл? Сразу сообщите в ИТ или отдел информационной безопасности.

👉Сохраняйте этот чек-лист и делитесь с коллегами

Мы усиливаем безопасность корпоративного мессенджера и ВКС⚡️

Бухгалтер получает в WhatsApp сообщение: «Срочно! Переведите деньги на новые реквизиты» — и 500 000 рублей уходят мошенникам. Или менеджер по продажам кликает на ссылку в Telegram — и через час хакеры получают доступ к CRM.

По нашим данным, жертвами мошенников становились 34% компаний. При этом 56%(!) продолжают обсуждать бизнес в публичных мессенджерах.

Альтернатива небезопасным публичным площадкам — корпоративный мессенджер. И мы рады представить масштабное обновление наших решений.

Что мы улучшили👇

🔹Сквозное шифрование (E2EE) и SSL-сертификат с шифрованием RSA данных. Это позволяет обеспечить доступ к информации только участникам общения.

🔹Биометрия + двухфакторная аутентификация. Чтобы зайти в мессенджер с компьютера, нужно подтвердить вход через мобильное приложение. В мобильной версии — вход по отпечатку пальца или Face ID.

🔹Автоудаление сообщений. Настраивайте таймер: час, день, неделя или месяц — и чат сам «стирает» конфиденциальные данные. Идеально для обсуждения финансов, персональных данных или временных проектов.

🔹Защита от скриншотов (мобильные приложения). Теперь нельзя сделать скриншот чата — система его заблокирует.

🔹QuantumConnect для видеозвонков. Новая технология для улучшения качества связи и безопасности конференций на базе Javascript Web Token.

Безопасность — это не сложно! Используйте возможности обновления и берегите ваши данные.

🔐 Фишинговая волна: как хакеры атакуют МСП и что делать?

«Уважаемый Иван! Срочно проверьте документ по ссылке. Отдел кадров»
«Коллеги, премии зависли — нужно зайти в систему до 16:00!»

Кажется безобидным? Статистика говорит об обратном — за 2024 год количество фишинговых атак в России выросло на 425%, и хакеры все чаще интересуются средним и малым бизнесом.

Почему хакеры любят МСП?

🔹«Входные ворота» для атак на крупный бизнес (через API подрядчиков).
🔹 Легкая добыча: сотрудники часто верят письмам «от руководства» и используют пароли типа «12345».

Как теперь атакуют?

Массовые атаки все чаще приобретают свойства целевых — хакеры целятся в отделы продаж и руководство, подделывают страницы CRM и корпоративных сервисов, используют ИИ для убедительных текстов и подделки голосов.

Как защититься?

1️⃣ Обучайте команду распознавать угрозы.

Письмо от CEO@MYC0MPANNY.RU — фишинг? Да, если ваш домен @mycompany.ru — обратите внимание на 0 вместо О в фишинговом письме.

2️⃣ Включите техническую защиту.

На первом плане — управление идентификацией и доступом. В помощь МСП — строгие политики управления доступом на основе ролей, многофакторная аутентификация, антивирусное ПО и другие решения, например, спам-фильтры.

3️⃣ Проводите «учебные тревоги».

Раз в квартал рассылайте тестовые фишинговые письма. Кто клюнул — проходит повторный инструктаж.

🎯Фишинг теперь — не просто массовый спам, а продуманная охота.
👉Подробнее о том, как защитить компанию, читайте в статье.

Не смогли оставить без внимания эту статью и решили дать пояснения🤓

☑️ Скрипт, который разобрали в статье — это часть известного сервиса «Скорость сайтов» в «1С-Битрикс: Управление сайтом». Он собирал только технические показатели о скорости загрузки страниц и рисовал графики для владельцев сайтов.

Этот сервис мы уже отключили — в актуальной версии его нет. Для старых версий, если вдруг владелец сайта не установил обновление, мы тоже уже отключили обработку на своей стороне.

Тем не менее, автор провёл отличную работу, хороший экспертный контент 🙌

Как сделать безопасным код сайта?

В предыдущих постах мы рассказывали о четырёх типовых уязвимостях веб-приложений и о том, как разработчикам предусмотреть защиту от них при написании кода.

Сегодня поговорим о трёх методах, которые помогут противостоять злоумышленникам 👇

1. Нормализация путей. В чем заключается?

👍 Два и более слэшей подряд заменяются на один.

👍 Корректно обрабатываются "." и "..": убираются из текущего пути или заменяются на директорию выше уровнем соответственно. Всё происходит в рамках переданной строки, поэтому, например, если начать нормализацию с "..", скрипт бросит исключение.

Помимо этого в классе есть набор функций для получения имени, расширения, пути и прочей информации, но в этой статье я на них останавливаться не буду.

Как надо

👍 Всегда нужно знать директорию, в которой должен лежать файл: DOCUMENT_ROOT, tmp, upload и т.д.

👍 Если от пользователя ждём только название или относительный путь, нормализуем его и конкатенируем с нужной папкой.

👍 Если вдруг по какой-то причине из запроса прилетает абсолютный путь, нормализуем его и проверяем, что начинается он из допустимого места.

2. Десериализация. Что поможет сделать код безопаснее?

👍 JSON
Если есть возможность представлять данные в каком-то другом формате, то лучше использовать его. Самый простой и надёжный вариант - JSON.

👍 ['allowed_classes' => false]
Если всё-таки планируем получать что-то от пользователя, нельзя позволить ему внедрять какие-то объекты в наш код. Для этого в функции unserialize() есть второй аргумент, в который можно либо передать массив разрешённых безопасных классов, либо запретить вообще любые классы:

👍 CheckSerializedData
В main/tools.php есть функция CheckSerializedData, которая с помощью регулярного выражения определяет наличие объектов в сериализованной строке и возвращает false, если что-то нашлось. Способ чуть менее надёжный, чем белый список или полный запрет классов, но тоже имеет место.

Криптоподпись (Signer)

Передача важных данных по незащищённым каналам несёт в себе потенциальную опасность — пользователь может подменить данные, добавить вредоносный код. Чтобы защититься от этой уязвимости, необходимо подтверждать авторство данных, а в нашем случае — передаваемых значений. Для этого существует криптоподпись — валидируя ее, можно понять, действительно ли данные не менялись в процессе передачи.

Представим, что вы отправили пользователю какой-то набор параметров и ждёте, что он передаст их в другое место. Передать он, может, и передаст, но по пути обязательно что-нибудь подменит. Для защиты от этого нужна подпись. Отправляем пользователю подписанное значение, и если потом подпись окажется некорректной, значит мы имеем дело с хакером.

👉Подробнее читайте в статье

Битрикс24 теперь можно запустить в докер-контейнерах ⚡️⚡️⚡️

Появился ещё один удобный способ развертывания Битрикс24 — в докер-контейнерах. Теперь даже для самых крупных проектов запуск системы занимает всего несколько минут.

Контейнерное окружение Битрикс24 — это готовое решение на базе технологий Docker, которое позволяет быстро настроить среду для тестирования и разработки.

Мы подготовили официальный репозиторий сборки Битрикс24 в контейнерах и подробную документацию по проекту на GitHub.

🔥 за новость!

🔐 Рассказываем, как определить, что мессенджер безопасен

Мессенджеры стали настолько привычными, что заменили многим электронную почту. Но для решения рабочих задач часто используют общедоступные мессенджеры — это создает риски утечки конфиденциальных данных.

Как вести переписку безопасно👇

Утечка данных — это действительно серьезная проблема для бизнеса. По данным InfoWatch, в 2024 году количество утечек выросло на треть, каждый второй инцидент произошел по вине сотрудников. Решение — корпоративный мессенджер. Удобный, быстрый, грамотно интегрированный в инфраструктуру компании и в ее культуру — он может гарантировать безопасность информационных активов организации как при внутренних, так и при внешних коммуникациях.

Как определить, что мессенджер безопасен? Вот несколько важных факторов:

🔹Подключение к DLP — позволяет контролировать мессенджер как канал утечки.
🔹Интеграция с SIEM-системой — помогает отлавливать нестандартные события.
🔹Подключение доменной авторизации — помогает управлять пользователями, отзывать доступ при инцидентах, увольнении, изменении должности.
🔹Контроль использования данных — дает возможность запретить копирование информации и создания скриншотов.
🔹Контроль сессий на устройствах — снижает риски перехвата сеанса пользователя злоумышленником.
🔹Двухфакторная аутентификация — снижает риски компрометации учетной записи пользователя при краже или несанкционированном подборе его пароля.

✍️ Помните — с 2023 года использование иностранных мессенджеров при оказании финансовых и государственных услуг и передаче любых персональных и платежных данных незаконно. Максимальный штраф за такое нарушение — 700 тыс. рублей.

👉 Больше о безопасности мессенджеров читайте в статье по ссылке.

👀 Вот на такое бинго типовых ошибок в безопасности от Солар наткнулись.

Бинго смешное, а ситуация нет.

Не смогли не поделиться с вами!

🔒 Как малый бизнес теряет миллионы из-за одного невнимательного клика

Предприятия малого и среднего бизнеса занимают 21,7% в экономике России — среднемесячный объем их выручки составляет 2,5 трлн. рублей. При этом владельцы таких компаний редко задумываются о безопасности — большая часть предприятий вообще не имеет средств защиты!

🔥 Какие риски существуют и как свести их к минимуму рассказал бизнес-партнер по информационной безопасности “1С-Битрикс” Леонид Плетнев.

Часто успешные атаки начинаются с человеческой ошибки — работник получает письмо со зловредным вложением или ссылкой. Программа-шифровальщик, например, блокирует все файлы компании — для дешифровки придется заплатить преступнику или долго восстанавливать информацию. А для кражи паролей и другой ценной информации злоумышленники могут использовать фишинговые страницы и стилеры.

Самые привлекательные для злоумышленников сферы — ритейл, финансовые сервисы, сервис-провайдеры для крупного бизнеса. Но в целом, в зоне риска находится любой бизнес с публичными ресурсами.

Вы опубликовали сайт в Интернете? В течение 20 минут его автоматически просканируют на наличие уязвимостей и, возможно, попытаются взломать. Ведете бизнес офлайн? Не теряйте бдительность — стоит «поймать» по электронной почте вирус или программу-шифровальщик, и данные окажутся под угрозой.

Как защитить бизнес? Начните с необходимого минимума 👇

🔹Разграничивайте доступ к информационным системам в зависимости от роли сотрудников в компании.
🔹 Вовремя обновляйте ПО.
🔹 Используйте антивирус.
🔹 Настройте двухфакторную аутентификацию.
🔹 Выполняйте резервное копирование и регулярно проводите тестирование системы на восстановление.
🔹 Используйте корпоративные почту и мессенджер.
🔹 Непрерывно обучайте сотрудников информационной безопасности.

🔐Помните: облачные решения уже включают базовую защиту — используйте облака и экономьте время на настройках.
👉 Больше о безопасности для малого и среднего бизнеса читайте в статье Леонида по ссылке.

Как мошенники используют поддельные и взломанные чаты в Telegram и WhatsApp?

🎯Поддельные чаты.
Мошенники создают фальшивые групповые чаты, имитируя рабочие переписки, чаты госорганов или тематические сообщества.

Как это работает?
— Вас добавляют в «официальный» чат — например, от имени работодателя, банка или госучреждения.
— Участники ведут себя «естественно»: якобы проходят проверку, подтверждают данные или делятся инструкциями. На самом деле это боты или мошенники, играющие роли.

Цель:
— Выманить коды из SMS (для «подтверждения личности»).
— Заставить перейти на фишинговый сайт (под видом госуслуг или корпоративного портала)
— Убедить скачать вредоносный файл («документы», «формы»).

Как распознать подделку?
— Незнакомые участники — если никого не знаете, это подозрительно.
— Слишком согласованные сообщения — будто по сценарию.
— Давление на срочность («Срочно подтвердите!», «Иначе блокировка!»).

🎯Взломанные чаты
Злоумышленники взламывают аккаунты администраторов реальных чатов и используют их для атак.

Что происходит?
— От имени админа рассылаются фишинговые ссылки («Обновите данные», «Проверьте доступ»).
— Публикуются фейковые объявления — например, о «раздаче премий» с требованием ввести личные данные.
— Добавляются подставные участники, которые убеждают остальных выполнить действия мошенников.

Как защититься?
— Не верьте неожиданным сообщениям — даже от знакомых.
— Проверяйте ссылки — официальные сервисы не просят вводить данные через Telegram/WhatsApp.
— Включите двухфакторную аутентификацию (2FA) в Telegram/WhatsApp.

Будьте бдительны🙌

Мы часто напоминаем вам, что использовать публичные мессенджеры для работы небезопасно 🙅‍♂️

Сотрудники теряют аккаунты из-за мошеннических атак, а злоумышленники получают доступ к контактам, персональным данным и конфиденциальной информации. Компаниям необходим закрытый корпоративный мессенджер, в котором есть только «свои», чтобы обезопасить сотрудников, данные и репутацию.

В новом релизе Битрикс24 Невесомость мы много внимания уделили этой проблеме.

Безопасность в Битрикс24 Мессенджере — это:

🔐закрытое пространство, в котором есть только сотрудники компании;
🔐шифрование данных в чатах и видеозвонках — доступ к информации есть лишь у участников общения;
🔐биометрия для авторизации — дополнительный способ защиты мобильного приложения
🔐мобильное устройство — элемент двухфакторной авторизации в веб- или десктоп-версии Битрикс24

Также в новом Битрикс24 будет дополнительный способ защиты информации — автоудаление сообщений. Пользователи смогут включить и выключить функцию в любой момент в чатах: один на один, групповых и коллабах. Период тоже настраивается — через час, день, неделю или месяц.

👉Подробнее о мессенджере