Фоновый шум, который не прекращается
В журнале почти любого корпоративного сайта каждый день видны запросы к /wp-login.php, /.env, /phpmyadmin, /bitrix/admin и старым версиям плагинов — даже если сайт сделан на другой платформе. Это автоматические сканеры уязвимостей, которые обходят интернет целиком. Сами по себе они не роняют сайт, но находят забытую копию сайта или необновлённый модуль, и тогда атака становится взломом. WAF отсекает такие запросы до сервера.
Разделы и правила
| Раздел | Пример пути | Правило |
|---|---|---|
| Административная панель | /admin, /bitrix/admin, /wp-admin | Доступ только с офисных адресов и VPN |
| Кабинет партнёра или дилера | /partner, /b2b | Защита входа, лимиты по учётной записи |
| Прайсы и каталоги в файлах | /upload/price/*.xlsx | Лимит на скачивание, доступ после входа |
| Формы обратной связи и тендеров | /feedback, /tender | Лимит на отправку, проверка перед формой |
| Обмен с 1С и ЭДО | /bitrix/admin/1c_exchange.php, /api/edi/* | Исключение по адресам, без проверки браузера |
Ошибки, которые ломают работу с партнёрами
- Блокировка стран целиком. Если у компании есть зарубежные поставщики или дилеры, геофильтр отрежет и их. Лучше ограничивать отдельные разделы, а не весь сайт.
- Проверка браузера на обмене данными. Учётные системы и ЭДО не выполняют JavaScript, и обмен заказами молча остановится.
- Доступ к админке по одному офисному адресу без резервного варианта: при смене провайдера сотрудники сами окажутся снаружи.
Открытый IP сервера
Корпоративные сайты часто годами живут на одном адресе, который виден в старых DNS-записях и заголовках писем. Подключать фильтр без сокрытия IP-адреса бессмысленно: атакующий пойдёт в обход. Как это сделать, рассказано в статье как скрыть IP сервера.
Вопросы и ответы
Нужна ли защита, если на сайт почти никто не заходит?
Сканерам безразлична посещаемость: они проверяют все сайты подряд. Небольшой сайт с устаревшим модулем — их типичная находка.
Сотрудники работают из дома. Как ограничить доступ к админке?
Разрешить доступ с адресов корпоративного VPN или включить дополнительную проверку для административных путей вместо жёсткого списка адресов.
Как защитить сайт на 1С-Битрикс с обменом с 1С?
Особенности описаны на странице 1С-Битрикс: пути обмена, административный раздел и шаблоны правил.
Читайте также
- ВозможностиWAF — защита от взлома через веб-запросыБлокировка SQL-инъекций, XSS и сканеров уязвимостей
- АтакиСканирование уязвимостей сайтаАвтоматический поиск дыр, забытых файлов и уязвимых плагинов
- ВозможностиСокрытие IP-адреса сервераСкрываем настоящий адрес сервера и закрываем обходные пути
- ПлатформыЗащита сайта на 1С-Битрикс от DDoS и ботовАдминка, обмен с 1С, каталог и проактивная защита
- База знанийКак скрыть IP-адрес сервера сайтаНайти утечки адреса и закрыть прямой доступ