Comments 66
UFO just landed and posted this here
UFO just landed and posted this here
— не запускать службу сервера 1С под учёткой локального админа (да, это вполне работает, 1С-ники врут).То, что под локальным админом не нужно — полностью согласен, но иногда требуются права доступа по сети. Например тому же «Документообороту» для хранения томов документов. Но сама 1с при установке генерит пользователя, с правами которго и разрешениями и надо грамотно работать.
Т.е. скорее необходимо _здраво_ оценивать потребности той или иной конфы. С плеча рубить тоже не дело, на самом деле.
UFO just landed and posted this here
Коллега, тсс, палитесь :)
| Так она его сразу и суёт его в группу «Администраторы», вот в чём проблема.
Обычная 1Ска слитая с ИТС при создании пользователя не сует его в локальных администраторов, но это делают некоторые допиленные магические сборки, которые даже перестают запускаться, если служба агента сервера не запускается из под учетки с админскими правами.
| Так она его сразу и суёт его в группу «Администраторы», вот в чём проблема.
Обычная 1Ска слитая с ИТС при создании пользователя не сует его в локальных администраторов, но это делают некоторые допиленные магические сборки, которые даже перестают запускаться, если служба агента сервера не запускается из под учетки с админскими правами.
UFO just landed and posted this here
Пользователя в 1С вам и не нужно создавать. А вот, то, что «она сама» создаёт пользователя windows и, якобы, «суёт» его в группу «администраторы», это исключительно ваша проблема, у всех остальных пользователь, под которым будет работать агент сервера 1С, почему-то создаётся с обычными правами и находится в группе «пользователи».
UFO just landed and posted this here
В базе что ли не нужно? Да я и не создаю, только тех, кто с правами администратора базы. Мог бы и этих не создавать, но как научить 1С-ников делать нормальные пароли вместо «123» или использовать доменную аутентификацию?
Вы не поверите, но 1С ники, если это не студенты, разносящие ИТС, это прекрасно умеют и практикуют.
О как прикольно. Было у меня подозрение что это все байки.
Только недавно хотел отдать клиента аутсорсеру только вместо mssql поставить postgre и очень долго слушал про сложности «поддержки», несовместимости конфигураций с бд и бла бла тополя.
Только недавно хотел отдать клиента аутсорсеру только вместо mssql поставить postgre и очень долго слушал про сложности «поддержки», несовместимости конфигураций с бд и бла бла тополя.
На сетевую шару назначаете нужные права этой учётной записи — всё как обычно, никаких отличий от обычной учётной записи нет, никаких дополнительных прав не нужноСовершенно верно. Но встречал персонажи, которые вместо того. чтобы разобраться почему не работает. сразу давали пользователю, от которого запущен сервис — админские права. Такой вопрос есть в стандартном экзамене на профа по техвопросам. Т.е. грамотное разрешение данной ситуации — не сакральное знание, а вопрос подготовки.
Какая там внутри конфигурация — мне, как админу, глубоко пофиг.опять согласен, но добавлю, что если админу от коллег пришел тикет о недостаточности прав на то или иное действие, то надо разбираться вместе. Но эта история о СОВМЕСТНОЙ работе разных служб.
Иногда настройка 1с превращается в ад. Я пробовал у нее для пг отрезать лишние права: документации по этому делу минимум, я полдня за ней бегал и сдался когда увидел лок на системную таблицу: при таком бреде запирать у нее суперпользователя уже смысла просто нет.
Под суперпользователем, как я понимаю, имеется ввиду админ базы PG? Если да, то тут скорее уперлись в наличие/отсутствие компетенций по самой PG. У меня их тоже нет, вряд ли помогу. По этой СУБД тоже есть курсы, кстати (не у 1с :)). И я планирую их пройти, т.к. на фоне последних событий предприятия, с которыми у нас выигранные тендеры на обслуживание могут начать на нее переходить в рамках программы импортозамещения.
Сейчас попробую аналогию привести: если приложению смертельно нужны права на редактирование c:/windows есть ли глубокий смысл вообще мучать себе мозг с правами?)
Я про pg могу сам рассказать прилично) Я кстати не в курсе почему ее боятся 1сники, даже без pgbouncer работает отлично. Хотя 1с использует ее… еслиб не индексы я бы сказал на уровне файлов практически. Сложного там ничего нет, она настраивается достаточно просто и быстро, только поправить конфиг под параметры машинки (на pgtune например).
Из неприятного:
— когда пг стояла на машине вместе с 1с я так и не понял как объяснить 1с не доедать всю память у сервака
— Не нашел вменяемой документации по режимам блокировок, ибо меня несколько беспокоят дедлоки, который правда pg скидывает.
— ну и местами бывают ошибки типо Integer out of range, но никак руки не дойдут на каком же запросе, ибо проблем не замечено.
А в остальном я почти забыл что в базе пг 1с сидит. Она меня беспокоит только когда конфигуратором вносятся изменения, ибо она их меняет через drop и естественно view или триггеры этому не способствуют, а я очень люблю 1сные данные получать мимо 1с)
Я про pg могу сам рассказать прилично) Я кстати не в курсе почему ее боятся 1сники, даже без pgbouncer работает отлично. Хотя 1с использует ее… еслиб не индексы я бы сказал на уровне файлов практически. Сложного там ничего нет, она настраивается достаточно просто и быстро, только поправить конфиг под параметры машинки (на pgtune например).
Из неприятного:
— когда пг стояла на машине вместе с 1с я так и не понял как объяснить 1с не доедать всю память у сервака
— Не нашел вменяемой документации по режимам блокировок, ибо меня несколько беспокоят дедлоки, который правда pg скидывает.
— ну и местами бывают ошибки типо Integer out of range, но никак руки не дойдут на каком же запросе, ибо проблем не замечено.
А в остальном я почти забыл что в базе пг 1с сидит. Она меня беспокоит только когда конфигуратором вносятся изменения, ибо она их меняет через drop и естественно view или триггеры этому не способствуют, а я очень люблю 1сные данные получать мимо 1с)
Если кто либо лезет без явных и достаточных причин в с:\windows, то это повод в любом случае обеспокоиться. Правда я не совсем понял как это связано с
Про неприятное — 1. Объяснить 1с не доедать память можно через настройки сервера из консоли сервера. В зависимости от платформы 8.2-8.3 есть нюансы. У Филиппова есть замечательный «справочник эксперта по техвопросам», стоит в районе 800 рублей, можно приобрести у любого франча или заказать в магазине товаров 1с. Там много, но если интересует конкретно настройка памяти сервера — скажите, думаю смогу помочь конкретикой. Про Гилева не говорю, т.к. думаю, что при активном поиске решения на его сайт Вы уже выходили. Но мне кажется и там было много про управление памятью.
2. Про блокировки — ну да, это головная боль разработчиков конфигураций, т.к. вопрос шире, чем их компетенции в механизмах платформы; но именно разрабы конф — программеры являются источником этой беды. Общая инфа есть в книге/на курсах. Практические вопросы обсуждаются на соотв ресурсах либо обращение к специалистам. Кстати, если у вас оф. договор ИТС, то вы можете обратиться к любому специалисту в любом франчайзи вне зависимости от города вполне себе официально. Дистанционная поддержка рулит.
3. Надо смотреть конкретную конфу. Самописная или типовая и т.д. Т.е. вопрос практический. Т.е. в обсуждения на соотв профильные ресурсы либо забить, если не беспокоит, если срочно — то спеца или плотно трассировать.
Иногда настройка 1с превращается в ад. Я пробовал у нее для пг отрезать лишние права
Про неприятное — 1. Объяснить 1с не доедать память можно через настройки сервера из консоли сервера. В зависимости от платформы 8.2-8.3 есть нюансы. У Филиппова есть замечательный «справочник эксперта по техвопросам», стоит в районе 800 рублей, можно приобрести у любого франча или заказать в магазине товаров 1с. Там много, но если интересует конкретно настройка памяти сервера — скажите, думаю смогу помочь конкретикой. Про Гилева не говорю, т.к. думаю, что при активном поиске решения на его сайт Вы уже выходили. Но мне кажется и там было много про управление памятью.
2. Про блокировки — ну да, это головная боль разработчиков конфигураций, т.к. вопрос шире, чем их компетенции в механизмах платформы; но именно разрабы конф — программеры являются источником этой беды. Общая инфа есть в книге/на курсах. Практические вопросы обсуждаются на соотв ресурсах либо обращение к специалистам. Кстати, если у вас оф. договор ИТС, то вы можете обратиться к любому специалисту в любом франчайзи вне зависимости от города вполне себе официально. Дистанционная поддержка рулит.
3. Надо смотреть конкретную конфу. Самописная или типовая и т.д. Т.е. вопрос практический. Т.е. в обсуждения на соотв профильные ресурсы либо забить, если не беспокоит, если срочно — то спеца или плотно трассировать.
с:\windows, то это повод в любом случае обеспокоиться
Ну вот лок на таблицу information_schema у пг это такой повод. Потому как это основная таблица и лезть туда не надо. Иногда через нее удобно посмотреть многие вещи запросом напрямую, но лезть туда с иными намерениями я считаю недопустимым. Когда будет лишнего времени дочерта опять зарежу ей права и тщательно изучу, но пока в свете вышесказанного резать ей права смысла никакого.
1. Спс, может прикуплю. Я вообще не 1сник, я так для общего развития) И да конечно почти все что было публично прочел. Настройки крутил. Просто это тонкий процесс, памяти на грани ибо пг она нужнее, там не только 1с работает. Нюанс в том что промахнулся и 1с весело доедает память прям до комы win serv.
2. Вы извините, но меня немного аж передергивает. Документация подробная должна быть доступна везде и всюду, а ее в свободном доступе по этому вопросу крохи.
Более того: на форумах 1с очень много бреда, начиная о том что pg не умеет row lvl lock, до того что лочить всю таблицу единственный нормальный выход. И конечно я обращался к специалисту, франчайзи, интеграторам итд. У меня создается ощущение, что людям тупо лень работать, так что ИТС нынче в лес. Ощущение такое как будто я их спрашиваю как девственницу в жертву принести.
Причем вопросы самое разнообразные. Вот перечень при которых практически все впадают в благоговейный трепет:
— Блокировки
— Написание кастомного обмена через механизм 1с с не очень 1с
— Некая обработка для обмена данными на лету с неопределенным списком конфигурация, или хотя бы одноразового.
3. Пока забил. Найти место не так сложно, это легко выясняется по логам пг. Просто нудноватое дело. А профильные ресурсы меня приводят в ужас. Как в худших сказаниях о рунете: на каждый вопрос сразу десяток умников предлагает переустановить/обновить/сменить базу/чтотомагическое/убитьсебяобстену. Да и как я уже сказал не 1сник я) Я просто верховный специалист по получению данных 1с быстро и напрямую из базы)
ЗЫ кстати раз вы планируете смотреть на пг, рекомендую изучить в нагрузку pgbouncer. Почему то в статьях про 1с о нем практически никто не упоминает.
про п.2 а) «блокировки» — Не все в этом вопросе упирается в доступность документации; тут, мне кажется, злую шутку сыграла заточенность платформы под «формат Документ» и то, что изначально 1с развивалась в своем потоке. В последствии перешла на MSSQL, внедрив очень многие механизмы для работы с внешней БД, заточенные именно под MSSQL. Да, PG и DB2 поддерживаются, но, как говорится: «есть особенности». А вот что бы грамотно работать с такими внешними базами — надо (если со стороны 1с) повторить путь, пройденный для адаптации под MSSQL (что, как понимаете весьма накладно), либо предусмотреть в механизме платформы селекторы, что тоже не слабая работа начиная от архитекторов платформы, и заканчивая просто программерами. Ну или становиться спецом по 1с и спецом по той БД с которой надо сращивать 1с. Т.е. такой универсальный солдат :).
Про обмены — вопрос подготовки специалистов и, в целом, наличия такой потребности. Мы с обменами проблем сегодня уже не испытываем, но по одной простой причине — жизнь вынудила. Наша контора обслуживает промсектор, в котором надо кучу данных с разных КИПов заносить в 1с. И теперь, спустя 8 лет у нас в штате как минимум три инженера, которые с закрытыми глазами (спецификации от приборов достаточно читать вслух) напишут выгрузку/загрузку как для оборудования в 1с, так и между самописными базами и 1с. Шучу конечно, но только процентов на 10 :).
И да, к изучению ПГ я планирую подойти как обычно — системно, т.е. пройдя все необходимые курсы и сертификации. А практики, при желании будет более чем достаточно, если последние тенденции таки будут воплощены в реальность:).
Обязательно обращу внимание на pgbouncer. Спасибо.
Про обмены — вопрос подготовки специалистов и, в целом, наличия такой потребности. Мы с обменами проблем сегодня уже не испытываем, но по одной простой причине — жизнь вынудила. Наша контора обслуживает промсектор, в котором надо кучу данных с разных КИПов заносить в 1с. И теперь, спустя 8 лет у нас в штате как минимум три инженера, которые с закрытыми глазами (спецификации от приборов достаточно читать вслух) напишут выгрузку/загрузку как для оборудования в 1с, так и между самописными базами и 1с. Шучу конечно, но только процентов на 10 :).
И да, к изучению ПГ я планирую подойти как обычно — системно, т.е. пройдя все необходимые курсы и сертификации. А практики, при желании будет более чем достаточно, если последние тенденции таки будут воплощены в реальность:).
Обязательно обращу внимание на pgbouncer. Спасибо.
UFO just landed and posted this here
Я не против pg (правда, компетенций по ней нет), ну а как вы бэкапите базы, мониторинг, уведомления? Траблшутить это всё как? В MS SQL всё это настраивается за 5 минут. Я бы давно перевел всех клиентов на pg, если бы не тот факт, что даже мелкие неисправности и рядовые задачи (восстановить бэкап, скопировать базу, создать новую) не требовали моего вмешательства, т.к. рядовые инженеры с этой задачей не справятся, в отличии от MS SQL
Во первых в чем проблема настроить репликацию, zabbix?
Траблшутить что? В частном случае старой 1с на слабом сервере с очень высокой нагрузкой наверное дедлоки могут быть, больше вариантов не могу придумать. У меня, например, сейчас есть две личные pg базы. Одна на win другая на ubuntu. Одной 5 лет, другой 2. Одна на физической машине, другая на VPS. Весело себе размешивают данные довольно активно и я малость забывать даже стал как у них конфиг и логи выглядят. Хотя иногда вспоминаю чуток, чтобы кластер на новую версию перевести.
Во вторых с чем, простите, не справятся с pg_dump_all/pg_restore? Ну… сделайте батничек с нужными параметрами. Если и тут не справятся, но инженерами называть их не стоит уж точно.
ЗЫ с каждым годом все громче раздаютсяфразы о суперсложном администрировании pg, все многочисленней, вот только где бы по пунктам услышать что конкретно с ней не так.
Траблшутить что? В частном случае старой 1с на слабом сервере с очень высокой нагрузкой наверное дедлоки могут быть, больше вариантов не могу придумать. У меня, например, сейчас есть две личные pg базы. Одна на win другая на ubuntu. Одной 5 лет, другой 2. Одна на физической машине, другая на VPS. Весело себе размешивают данные довольно активно и я малость забывать даже стал как у них конфиг и логи выглядят. Хотя иногда вспоминаю чуток, чтобы кластер на новую версию перевести.
Во вторых с чем, простите, не справятся с pg_dump_all/pg_restore? Ну… сделайте батничек с нужными параметрами. Если и тут не справятся, но инженерами называть их не стоит уж точно.
ЗЫ с каждым годом все громче раздаютсяфразы о суперсложном администрировании pg, все многочисленней, вот только где бы по пунктам услышать что конкретно с ней не так.
Вы меня не услышали, дело не в суперсложном администрировании, а в низкой подготовке младшего обслуживающего персонала, особенно в маленьких компаниях. А например я вынужден работать с тем, что есть. Порог вхождения в pg пусть и не мегавысокий, но в разы выше, чем MS SQL. Совокупная стоимость владения не пустой звук, однократно купить лицензию (или, будем реалистами, стырить с торрентов) продукт Майкрософт и затем админить его студентами совсем не то же, что держать в команде нормальных админов. И даже приглашение аутсорсеров не панацея («вы уйдете, а нам это обслуживать»)
Сценарий «был умный админ, уволился, наставил тут своих линуксов и теперь никто разобраться не может, я уже и брата просил и соседа звал» — это моя реальность, увы.
Сценарий «был умный админ, уволился, наставил тут своих линуксов и теперь никто разобраться не может, я уже и брата просил и соседа звал» — это моя реальность, увы.
или, будем реалистами, стырить с торрентов)
Не будем. Если только вы не хотите сесть, когда кому нибудь палочки в отчете нужны будут.
Вы меня не услышали
Боюсь, что вы меня не услышали. Ну объясните пожалуйста на пальцах, что конкретно подготавливать надо? Инет завален статьями в стиле «как за 5 минут воткнуть 1с+pg». Я серьезно не понимаю. Ткнуть батник с командой слишком сложно и нужно мышечкой галочку поклацать?
ЗЫ базу кстати создать можно из административной консоли 1с кластера.
То, что криворукие администраторы не способны изучить хотя бы руководство администратора из коробки и выдают налево и направо права администратора всем вот этим франчайзи 1С, как вы говорите, вот это и есть тот самый белый пушистый зверь. И в чем винить 1С, как ПО, в данном случае? Где именно в платформе вы видите «дырищу»? А в случае, когда они говорят, что «нам нужны права администратора», так это опять же потому, что администратор не способен настроить то, что от него требуется. У меня примеров на этот счёт вагон и маленькая тележка. Особенно радуют администраторы, которые, когда слышат слово 1С сразу съезжают, по типу того, что «я системный администратор и вашей 1С не занимаюсь», бывают даже уникумы, которые права доступа к com объектам настроить не в состоянии, даже по картинкам. И даже кластер серверов разворачивать приходится 1С нику. Подумайте над ответом, чем 1С, как ПО, отличается от любого другого ПО с клиент-серверной архитектурой? И неужели у вас установкой такого ПО занимается 1С ник?
Я всегда прошу учетку без прав админа на клиентских серверах, так и проверяю, системные администраторы у клиента работают или эникеи и знаете, поработать с системным администратором удалось только пару раз.
Я всегда прошу учетку без прав админа на клиентских серверах, так и проверяю, системные администраторы у клиента работают или эникеи и знаете, поработать с системным администратором удалось только пару раз.
И главное — у такой учетки («главбух с правами админа», если уж таковую пришлось сделать) должен быть сложный и периодически меняющийся пароль.
Managed service accounts же. Для сервера приложений и скуля.
На хабре есть статья — habr.com/post/204780
На хабре есть статья — habr.com/post/204780
UFO just landed and posted this here
В принципе всю статью можно было свести к одной фразе — «ставьте пароли на все базы 1С».
Отдельно хочу отметить, что взлом базы выполнен из внутренней сети организации, куда еще нужно попасть.
Подсказка хакерам — если поискать, то во многих компаниях базы 1С (особенно документооборот) публикуются в интернете для доступа VIPов с телефонов и планшетов, при этом администраторы ленятся отключать дополнительные права для публикации из-за сложности настройки ограничений и отсутствия достаточного опыта по настройке IIS/Apache, в этом случае взлом выглядел бы эффектнее. Да и пароли VIP-пользователей обычно несложно угадать.
Отдельно хочу отметить, что взлом базы выполнен из внутренней сети организации, куда еще нужно попасть.
Подсказка хакерам — если поискать, то во многих компаниях базы 1С (особенно документооборот) публикуются в интернете для доступа VIPов с телефонов и планшетов, при этом администраторы ленятся отключать дополнительные права для публикации из-за сложности настройки ограничений и отсутствия достаточного опыта по настройке IIS/Apache, в этом случае взлом выглядел бы эффектнее. Да и пароли VIP-пользователей обычно несложно угадать.
ленятся отключать дополнительные права для публикации из-за сложности настройки ограниченийЭто про что конкретно, если не секрет?
Из распространенного (с чем лично сталкивался) при публикации на IIS:
1. Разрешена анонимная авторизация на IIS (так как проброска авторизации Windows работает не слишком очевидно а настройкой IIS занимается программист 1С)
2. Службы 1С на сервере IIS работают под правами локального администратора, причем нередко под той же учеткой, что и сервер 1С Предприятия (так как заставить сисадмина завести и настроить отдельные учетные записи бывает очень сложно и даже ящик пива не помогает)
3. В самой базе 1С остаются пользователи без паролей
4. В базе 1С разрешены запуски внешних обработок, выполнение произвольного кода (внешние обработки вообще огромная дыра, но иногда без них никак)
5. В самой 1С публикуются не только необходимые компоненты, но и много дополнительного мусора (который по умолчанию отмечен в настройках публикации)
6. Из-за «специфики» работы 1С с протоколом HTTPS (может в последних релизах и стало получше, хотя детали проблем сейчас уже не помню), часто веб-сервисы публикуются без авторизации и работают по протоколу HTTP
7. Наверное, самое веселое. Сервер IIS нередко ставят на тот же сервер, что и 1С, и SQL.
1. Разрешена анонимная авторизация на IIS (так как проброска авторизации Windows работает не слишком очевидно а настройкой IIS занимается программист 1С)
2. Службы 1С на сервере IIS работают под правами локального администратора, причем нередко под той же учеткой, что и сервер 1С Предприятия (так как заставить сисадмина завести и настроить отдельные учетные записи бывает очень сложно и даже ящик пива не помогает)
3. В самой базе 1С остаются пользователи без паролей
4. В базе 1С разрешены запуски внешних обработок, выполнение произвольного кода (внешние обработки вообще огромная дыра, но иногда без них никак)
5. В самой 1С публикуются не только необходимые компоненты, но и много дополнительного мусора (который по умолчанию отмечен в настройках публикации)
6. Из-за «специфики» работы 1С с протоколом HTTPS (может в последних релизах и стало получше, хотя детали проблем сейчас уже не помню), часто веб-сервисы публикуются без авторизации и работают по протоколу HTTP
7. Наверное, самое веселое. Сервер IIS нередко ставят на тот же сервер, что и 1С, и SQL.
По второму пункту: не совсем понял, службы сервера 1с и сервер 1с работают под одной учетной записью?
за п.3 конечно надо обрывать руки. Иногда у инженеров хватает ума просто отключить публикацию списка пользователей — тоже останавливает.
п.4 Легко настраивается в самой конфе, причем в режиме пользователя. А в современных конфах эту возможность сделали по умолчанию оффнутой.
по п.5, п.7 и п.1 греха не увидел, в чем может быть проблема, особенно если выполнены пункт про пароли на учетках?
Ну и опять же — шел из статьи не залить в базу по HTTP опубликованную, а типовые конфы не имеют в своем типовом функционале возможности посмотреть пароль для sql-соединения.
Более того — (открою секрет) шел для ветки платформы 8.3.11, а я у себя так с 8.3.10 пока не спрыгнул.
за п.3 конечно надо обрывать руки. Иногда у инженеров хватает ума просто отключить публикацию списка пользователей — тоже останавливает.
п.4 Легко настраивается в самой конфе, причем в режиме пользователя. А в современных конфах эту возможность сделали по умолчанию оффнутой.
по п.5, п.7 и п.1 греха не увидел, в чем может быть проблема, особенно если выполнены пункт про пароли на учетках?
Ну и опять же — шел из статьи не залить в базу по HTTP опубликованную, а типовые конфы не имеют в своем типовом функционале возможности посмотреть пароль для sql-соединения.
Более того — (открою секрет) шел для ветки платформы 8.3.11, а я у себя так с 8.3.10 пока не спрыгнул.
Да, по п.2 именно создается учетка с широчайшими правами и назначается всему что связано с 1С. Из-за лени сисадмина.
п.4 — из под пользователя с обычными правами не настраивается
п. 5 — например, при публикации веб-сервиса публикуют до кучи и тонкого клиента. А через тонкого клиента, опять же, можно и в базу залезть и что-нибудь интересное вроде зарплаты генерального директора достать.
на 8.3.11 кстати в свое время вынуждены были перебраться, столкнувшись с ошибкой в 8.3.10, кажется, связанной со стабильностью работы кластера.
И да, правильно настроенные пароли на учетках и вообще правильно настроенные пользователи закрывают почти все дыры.
п.4 — из под пользователя с обычными правами не настраивается
п. 5 — например, при публикации веб-сервиса публикуют до кучи и тонкого клиента. А через тонкого клиента, опять же, можно и в базу залезть и что-нибудь интересное вроде зарплаты генерального директора достать.
на 8.3.11 кстати в свое время вынуждены были перебраться, столкнувшись с ошибкой в 8.3.10, кажется, связанной со стабильностью работы кластера.
И да, правильно настроенные пароли на учетках и вообще правильно настроенные пользователи закрывают почти все дыры.
Мы с Вами похоже по терминологии не совпадаем. У Вас какие компетенции в 1с формально подтверждены? У меня эксперт по техвопросам и спец по платформе. Сертификация, кроме прочего, дает общую терминологию. Потому и уточняю.
У Рупасова поди получали? Нашли чем гордиться.
Наслышан. Но нет. У Филиппова.
И все-таки не советую гордиться этой бумажкой. Многие 1сники знают как ее выдают:)
Тут не про гордость, а про то, что прохождение этих курсов дает возможность использовать единую терминологию, как минимум. Ну и избегать ляпов, которые меня потрясли. например.
Такие и похожие огрехи непонимания легко исправляются путем ХОТЯ БЫ прохождения специализированного курса. Ну и легче разговаривать будет.
п. 5 — например, при публикации веб-сервиса публикуют до кучи и тонкого клиента. А через тонкого клиента, опять же, можно и в базу залезтьпо http 1с в принципе работает только через тонкий клиент.
Службы 1С на сервере IIS работают под правами локального администратора, причем нередко под той же учеткой, что и сервер 1С ПредприятияЭто одно и то же, служба одна и называется «агент сервера 1с: Предприятия»
п.4 — из под пользователя с обычными правами не настраиваетсяту как раз перл из терминологии. В 1с различают пользовательский режим (режим 1с предприятия) и режим конфигуратора. Так вот. в современных конфах вся работа с пользователями может идти из режима предприятия (т.е. легко доступна). Но автор прав — что бы снять такие права надо иметь привилегии админа в базе на уровне 1с. НО и сто бы их поставить — тоже (а по умолчанию, как мы помним возможность запуска внешних обработок выключена)
Такие и похожие огрехи непонимания легко исправляются путем ХОТЯ БЫ прохождения специализированного курса. Ну и легче разговаривать будет.
UFO just landed and posted this here
5. В самой 1С публикуются не только необходимые компоненты, но и много дополнительного мусора (который по умолчанию отмечен в настройках публикации)
Это не мусор, а определённые разработчиками конфигурации дополнительные сервисы. Их публикация сама по себе не является угрозой.
Данный кластер не был защищен паролем
Проанализировав все базы, мы обнаружили, что база perf не защищена паролем
А так то 1С это дырища ага. Я могу рассказать более вероятный сценарий:
Просканировав систему мы обнаружили что у пользователя «Администратор» установлен пароль «123» и на рабочем столе лежит текстовый документ со всеми существующими в организации логинами и паролям.
Хакеры чоужтам, как такая тупость может восприниматься серьезными людьми?
Подсказка н2. Большая часть 1с работает на Apache 2.2 которому лет больше чем мне и уверен найдется немало эксплойтов.
Можно было не снимать конфу Гилева с поддержки и не изменять форму, а через стандартную консоль запросов сделать запрос к константам SQLсерверЛогин SQLсерверПароль, результат будет в открытом виде. Так в 1С со всеми значениями которые скрыты в полях формы с типом пароль.
Давайте, я расскажу вам еще об одном заблуждении.
Что программисты 1с обожают работать под админом.
Только в тех организациях, где совсем нет сисадмина, либо где сисадмины недостаточно умны, что бы установить 1с платформу, скуль сервер, веб сервер с минимальными правами, что бы 1с при работе не глючило и не падало.
Фактически многие админы даже не способны открыть в файрволе необходимые порты доя работы 1с сервера. Естественно программист решает эту проблему по своему просто вырубая нафиг фийрвол/антивирус.
Каждый должен заниматься своим делом, админы настраивать программное обеспечение (в том числе и 1с), а программисты- программировать.
Для настройки и сопровождения сервера и конфигураций у 1с есть вполне конкретная компетенция — «1С: Профессионал по технологическим вопросам» (это первая ступень, там и дальше есть развитие — Эксперт и Эксплуататор, это уже для крупных внедрений). И организации, заинтересованные в нормальном сопровождении своей ит-инфраструктуры, кой она включает в себя 1с, отправят на обучение/дадут возможность пройти курс. Это не сложно и относительно не дорого.
Настройка 1с сервера не равно делегированию прав в домене.
Одинэсник сколько угодно может ковыряться в своих конфигах и серверах, но хороший админ на пушечный выстрел не допустит его до настройки прав, что локальных, что доменных.
А при нормально настроенных правах 1с не более дырявая, чем любое другое приложение.
И данная статья, еще однотому пдтверждение.
А при нормально настроенных правах 1с не более дырявая, чем любое другое приложение.Полностью согласен.
И данная статья, еще однотому пдтверждение
Про курс: я как раз часто рекомендую нашим заказчикам, что бы именно их админ его прошел. Тогда они и нам меньше денег за обслуживание платят (а значит и от рутины разгружают) и настройки все на месте, т.к. их админ свою сеть в любом случае больше нас знает.
Хотя, лично для меня, вся эта последовательность факапов в настройке сервера с установленным кластером 1С выглядит диковато, к сожалению, при аудитах очень часто выясняется, что все так в реальности и настраивается. Правда меня в статье смущает упоминание «Департамент информационной безопасности», поскольку такая фигня обычно присуща большим организациям, а там как правило, админы то поопытнее будут.
Нестандартность портов кластера 1С не является средством защиты.
Нестандартность портов кластера 1С не является средством защиты.
к сожалению, при аудитах очень часто выясняется, что все так в реальности и настраивается.
Проблема в том, что как раз не настраивается. Это же дефолтные значения. Для варианта запустить 1С чтоб 1,5 юзера могли работать это еще нормально. Для продакшена на 100+ пользователей это волчий билет админу.
Я могу даже сказать как выглядит типичная ситуация (перечень того как делать не нужно):
— 1Сник(и) с правами доменных админов
— В домене отключена периодическая смена паролей
— Сервисы кластера 1С и апача запущены из под учетки 1Сника
— Сервисы MSSQL запущены под LOCAL SYSTEM, все, включая агента
— Учетка sa активна и под ней кластер 1С подключен к MSSQL
— Пароль на Администратор1С совпадает с паролем sa
— На все ИТшные задачи 2-3 пароля, которые знают все ИТшники от мала до велика
— Прямые пробросы из инета на терминальный сервер/компьютеры по портам
— Неперсонализированные учетки / работа из под одной учетки несколькими 1Сниками
— Чрезмерно избыточные права у пользователей
— Всем на все пофиг, весь процесс это непрерывное тушение пожара в перемешку с ничего неделаньем.
— Нет времени сделать нормально, всегда есть время починить сломавшееся
— 1Сник(и) с правами доменных админов
— В домене отключена периодическая смена паролей
— Сервисы кластера 1С и апача запущены из под учетки 1Сника
— Сервисы MSSQL запущены под LOCAL SYSTEM, все, включая агента
— Учетка sa активна и под ней кластер 1С подключен к MSSQL
— Пароль на Администратор1С совпадает с паролем sa
— На все ИТшные задачи 2-3 пароля, которые знают все ИТшники от мала до велика
— Прямые пробросы из инета на терминальный сервер/компьютеры по портам
— Неперсонализированные учетки / работа из под одной учетки несколькими 1Сниками
— Чрезмерно избыточные права у пользователей
— Всем на все пофиг, весь процесс это непрерывное тушение пожара в перемешку с ничего неделаньем.
— Нет времени сделать нормально, всегда есть время починить сломавшееся
В домене отключена периодическая смена паролей
И правильно сделано, за её включение надо бить ногами.
И правильно сделано, за её включение надо бить ногами.
вы еще предложите отключить повышенную сложность пароля и его неповторяемость, и вообще разрешить пользователям ставить софт на комп какой захотят
Был миллион статей про бесполезность частой смены паролей, потому что энтропия от замены последнего символа не повышается.
Статьи читать полезно. И я сам могу привести Вам множество рекомендаций что не нужно заставлять пользователей менять пароли. У мелкомягких, в облачных сервисах это даже отключено по умолчанию. Прям идиллия. Светлое юзерско-ИТшное будущее. Облачное.
Однако вернемся на землю. Сюда, в грязь, окопы, отсутствия бюджетов и кучи не персонализированных учеток.
Любая нормальная статья в которой говорится, что не нужно пользователей заставлять делать смену паролей предъявляет к этому правилу несколько требований:
— Запретите распространенные пароли
— Попросите сотрудников не использовать пароли организации для других целей
— Принудительно применяйте многофакторную проверку подлинности
— Включите многофакторную проверку подлинности с учетом рисков, читай мониторинг на подозрительную активность.
При том, что отслеживать реально можно только последние два пункта. И много ли админовпойдутсмогут на внедрение таких инструментов? А в конторке на 30 человек с приходящим админом-студентом?
Поэтому я продолжаю настаивать на том, что принудительная смена паролей нужна. Раз в полтора/два месяца это не страшно, личные пароли рано или поздно кончатся и с ними не будет совпадений, хотя бы в одном символе. Один замененный символ полностью меняет хэш пароля. Лучше чем один и тот же пароль на протяжении 10 лет.
Для ИТшников принудительная смена пароля просто обязательна. Это отучит несознательных засранцев подключать юзерам сетевые ресурсы под своей учеткой, запускать сервисы и службы под своей учетной записью и делать задания в таскшедуре от имени своей учетки.
А в качестве простейшего мониторинга выступает блок учетки на 10 минут за 10 неправильных попыток входа подряд и неработающие сервисы после перезапуска сервера (правда еще это могут быть переставшие работать бэкапы).
А скрипт ежедневного отчета о том, кто ловит блокировку и откуда она прилетает занимает в зависимости от наворотов от 10 до 40 строчек в Powershell. Плюс 10 строчек для отправки письма. И там, возможно, Вы сможете увидеть, что внутри инфраструктуры кто то брутфорсит юзеров и доменных админов (хотя не рекомендуется вешать блокировку на учетки админов, по вполне понятным причинам)
Резюмируя:
Читать умных людей и бестпрактисы корпоративных монстров обязательно нужно.
Иметь свою голову и пользоваться ей куда важнее.
Однако вернемся на землю. Сюда, в грязь, окопы, отсутствия бюджетов и кучи не персонализированных учеток.
Любая нормальная статья в которой говорится, что не нужно пользователей заставлять делать смену паролей предъявляет к этому правилу несколько требований:
— Запретите распространенные пароли
— Попросите сотрудников не использовать пароли организации для других целей
— Принудительно применяйте многофакторную проверку подлинности
— Включите многофакторную проверку подлинности с учетом рисков, читай мониторинг на подозрительную активность.
При том, что отслеживать реально можно только последние два пункта. И много ли админов
Поэтому я продолжаю настаивать на том, что принудительная смена паролей нужна. Раз в полтора/два месяца это не страшно, личные пароли рано или поздно кончатся и с ними не будет совпадений, хотя бы в одном символе. Один замененный символ полностью меняет хэш пароля. Лучше чем один и тот же пароль на протяжении 10 лет.
Для ИТшников принудительная смена пароля просто обязательна. Это отучит несознательных засранцев подключать юзерам сетевые ресурсы под своей учеткой, запускать сервисы и службы под своей учетной записью и делать задания в таскшедуре от имени своей учетки.
А в качестве простейшего мониторинга выступает блок учетки на 10 минут за 10 неправильных попыток входа подряд и неработающие сервисы после перезапуска сервера (правда еще это могут быть переставшие работать бэкапы).
А скрипт ежедневного отчета о том, кто ловит блокировку и откуда она прилетает занимает в зависимости от наворотов от 10 до 40 строчек в Powershell. Плюс 10 строчек для отправки письма. И там, возможно, Вы сможете увидеть, что внутри инфраструктуры кто то брутфорсит юзеров и доменных админов (хотя не рекомендуется вешать блокировку на учетки админов, по вполне понятным причинам)
Резюмируя:
Читать умных людей и бестпрактисы корпоративных монстров обязательно нужно.
Иметь свою голову и пользоваться ей куда важнее.
Но это не значит что пароли вообще не надо менять
например на одной моей старой работе, после моего ухода не поменяли пароль на одном важном сервисе, я по прошествии нескольких лет могу туда зайти, хорошо ли это? и я же при увольнении предупреждал и вообще писал длиннющий мануал по управлению безопасностью… хоть бы хны,, аудит не затрагивает этот сервис и всем наплевать сразу
люди имеют свойство увольнятся, другие люди имеют свойство ходить под чужими паролями, в глобальном смысле это получается накопительная дыра в безопасности
например на одной моей старой работе, после моего ухода не поменяли пароль на одном важном сервисе, я по прошествии нескольких лет могу туда зайти, хорошо ли это? и я же при увольнении предупреждал и вообще писал длиннющий мануал по управлению безопасностью… хоть бы хны,, аудит не затрагивает этот сервис и всем наплевать сразу
люди имеют свойство увольнятся, другие люди имеют свойство ходить под чужими паролями, в глобальном смысле это получается накопительная дыра в безопасности
У вас на первом скрине видно, что менеджер лицензий HASP не самый свежий (порт 1947). Не пробовали взломать через эту уязвимость, как описывает Касперский? Там сразу права системы можно получить. Полностью пропатченная версия 20.05, а тут 20.00.
Ясень пень, что хранение админских паролей от СУБД в открытом виде, запуск процессов от LocalSystem может существенно помочь злоумышленнику со взломом системы. В чем специфика 1С: Предприятия?
Админ, который в рабочем окружении разворачивает тестовые базы профнепригоден вне зависимости от используемого набора приложений и ОС.
Админ, который в рабочем окружении разворачивает тестовые базы профнепригоден вне зависимости от используемого набора приложений и ОС.
Понравилось начало статьи. Сейчас мы хакнем сервер. В конце вас ждет сюрприз)
UFO just landed and posted this here
Новый русский приходит домой после недельного загула и говорит жене:
— У меня две новости, плохая и хорошая, с чего начать?
— Ну, ладно, пугай. Начинай с плохой.
— Я все наше имущество в казино проиграл конкретно.
— Ну а хорошая?
— Да это мое казино оказалось.
Прям первоапрельский выпуск )
Я вчера взломал кошелек. Все деньги достал. А потом смотрю это мой кошелек.
Наверное когда 1С ники пишут про веб сервера такая же ржака получается.
Консоль администрирования 1С не ставится без прав админа, это как минимум.
— У меня две новости, плохая и хорошая, с чего начать?
— Ну, ладно, пугай. Начинай с плохой.
— Я все наше имущество в казино проиграл конкретно.
— Ну а хорошая?
— Да это мое казино оказалось.
Прям первоапрельский выпуск )
Я вчера взломал кошелек. Все деньги достал. А потом смотрю это мой кошелек.
Наверное когда 1С ники пишут про веб сервера такая же ржака получается.
Консоль администрирования 1С не ставится без прав админа, это как минимум.
Фэйк. слишком многое притянуто за уши. И доступ к серверу есть, и хватило прав консоль 1с сервера запустить, и как на зло нашлась база, опять же без пароля. И в этой базе с далеко непопулярной конфигурацией (такую ваще впервые вижу) сразу же нашли реквизит содержащий Логин/Пароль Админа. Так почему же вам пришлось менять конфигурашку, вместо банального запроса к нужному реквизиту? ответ "мы это всё выдумали, любые совпадения случайны" вполне сгодится.
UFO just landed and posted this here
Sign up to leave a comment.
Взламываем Windows Server через 1С