как защитить базу 1c?

18. lurik 09.11.11 13:04 Сейчас в теме
AMANDA — название системы, которая позволяет организовать процедуру резервного копирования на одном сервере для множества компьютеров в сети. Система имеет архитектуру клиент-сервер. Клиент — это машина, которая нуждается в резервном копировании; сервер — это машина, где находятся внешние системы памяти для хранения резервных копий. В сети может быть большое число клиентов и много серверов. Эта система вполне может использоваться в качестве инструмента для резервного копирования масштаба предприятия. На сервере AMANDA могут использоваться различные внешние устройства:

магнитофоны;
жёсткие диски;
оптические диски;
облачная память (http://www.amazon.com/s3).
Перечислим основные технические особенности этой системы:

AMANDA — это акроним от Advanced Maryland Automatic Network Disk Archiver (продвинутый автоматический сетевой дисковый архиватор из университета Мериленда);
Написана на C и Perl.
Система работает на всех операционных платформах Linux/Unix, а также Windows/XP/Vista/7. Копирование с платформы Windows осуществляется с использованием средств SAMBA.
Является свободно распространяемым продуктом (исходные тексты и готовые к исполнению программы) в соответствии с лицензией университета в Мериленде и GPL.
Разработана с использованием стандартных средств архивирования (dump/restore, GNU tar и др.); описаны возможности расширения, чтобы использовать новые (дополнительные) средства архивирования;
Имеет открытый стандартный формат резервной копии на внешнем носителе (на ленте), таким образом при необходимости можно использовать команды mt, GNU tar для восстановления файлов с резервной копии;
Имеется возможность создания резервной копии и восстановления 32 и 64 битных машин под Windows;
Запоминает в специальном каталоге все файлы, для которых были созданы резервные копии;
Проверяет магнитную ленту, кода планируется выводить резервную копию; если лента не предназначена для резервного копирования, то система не будет её использовать;
При восстановлении сообщает оператору, какую ленту следует установить и найдёт верную версию резервной копии на ленте;
Может быть легко сконфигурирована для использования практически любой ленточной системы (простой магнитофон, ленточная библиотека, ленточный робот и т.п.);
Посредством набора API можно использовать как ленточные устройства, включая RAIT (Redundant Arrays of Inexpensive Tape — избыточный массив недорогих магнитофонов), так и виртуальные ленты и диски, DVD-RW, а также облачную память типа AMAZON S3;
Поддерживает аутентификацию в сети с использованием OpenSSH;
Поддерживает шифрование резервной копии с использованием GPG или других средств шифрования;
По запросу может выполнить уплотнение информации, для которой создаётся резервная копия, посредством gzip или другой программы;
Поддерживает протокол Kerberos 5, включая зашифрованную передачу данных по сети;
Детально сообщает о всех выполненных операциях и возникших ошибках по электронной почте;
Динамически подгоняет расписание резервного копирования с различных клиентских машин, чтобы минимизировать ручное изменение конфигурации при изменении числа машин или дисков на клиентской машине;
Поддерживает IPv6;
Если размер резервной копии больше ёмкости одной ленты (тома), то резервная копия распределяется по нескольким лентам; при восстановлении оператор (человек) будет информирован, в какой последовательности потребуются магнитные ленты;
Набор API позволяет сконфигурировать резервное копирование для специализированных приложений, например, СУБД;
Можно добавить скрипты, которые будут выполнены до выполнения резервной копии и/или после выполнения резервной копии, например, для проверки согласованности значений в базе данных.
Ответы
Подписаться на ответы Инфостарт бот Сортировка: Древо развёрнутое
Свернуть все
19. uriy 3 09.11.11 13:35 Сейчас в теме
Согласен с 16 -Alfa-
можеш компы в разные группы раскинуть а путь к с по ip адрессу прописать для усложнения задачи. Для того чтоб не сперли все Usb отключи и привод вытащи.
20. Alex1c 32 09.11.11 14:17 Сейчас в теме
Файловую базу 1С 7.7 защитить практически нереально. При использовании SQL версии можно более менее прикрыть возможность вынос базы полностью. Однако останутся отчеты через которые можно слить всю нужную информацию не трогая базу. Насчет слабых знаний юзеров о том как обойти хитрую защиту не обольщайтесь. Всегда найдется знающий знакомый, который поможет . Ко мне самому несколько раз обращались знакомые с вопросом, как забрать с собой базу клиентов при увольнении.
21. dyh 4 09.11.11 16:59 Сейчас в теме
22. Noy15 11.11.11 10:16 Сейчас в теме
Хорошие советы, спасибо
23. SourceMan 11.11.11 15:57 Сейчас в теме
Файловую базу в сети можно "защитить" только при следующих условиях:
- на компьютерах пользователей отключена возможность usb флешки, CD-ROM стоят без записи
- отсутствует выход в интернет
Если невозможно соблюсти хотя бы одно условие, то тогда лучший способ перейти на SQL версию.
serginios; +1 Ответить
24. fg2 11.11.11 17:15 Сейчас в теме
BACK UP - лучший друг сисадмина. ежедневний backup и копирование на разные носители вас спасут от пропажы. Но что это за контора, в которой такие страсти??? ))))
25. serginios 12.11.11 12:14 Сейчас в теме
Вам необходимо перевести базу в SQL,
и в конфигураторе обрубить права пользоатлям, т.е запретить выгрузку в дт фал
26. Stapy 12.11.11 20:56 Сейчас в теме
27. Hot_Serg 6 13.11.11 11:25 Сейчас в теме
Самое простое - это на компьютере 2 запретить использование флэшек и запись на CD-DVD, тогда хотя бы стянуть не смогуть. Хотя через Интернет смогут выслать. Тогда и Интернет можно отключить, кроме асек и т.п.
28. antonio5555 23 13.11.11 13:23 Сейчас в теме
И права пользователей и флешки и Romы и интернет - все отключить, замазать комп зеленкой, перебинтовать бинтом, повторить последние 2 процедуры несколько раз..
29. rrbit 13.11.11 14:19 Сейчас в теме
Также Поддерживаю serginios
30. andre_mf 14.11.11 20:01 Сейчас в теме
ставь пароль на бэкап : ))
31. master_devel 15.11.11 19:48 Сейчас в теме
Подключайте клиентов терминалом. Отключите при этом сетевой доступ к каталогу. Или перейдите на 8.2 Там есть web-клиент. Проблема сама отпадет. Из браузера сильно не накопипастишь.

В остальных случаях ничего не сделаете.
32. rinerator 15.11.11 19:49 Сейчас в теме
SourceMan пишет: Файловую базу в сети можно "защитить" только при следующих условиях:
- на компьютерах пользователей отключена возможность usb флешки, CD-ROM стоят без записи
- отсутствует выход в интернет
Если невозможно соблюсти хотя бы одно условие, то тогда лучший способ перейти на SQL версию.

Или 8.2 и web-клиент
все остальное обходимо
лично сам обходил не раз руками ПОЛЬЗОВАТЕЛЯ на другом конце телефонной линии
33. vbutaev 16.11.11 13:34 Сейчас в теме
Если база просто в расшареной папке, никак кмк. Терминал будет хорошим решением.
34. пользователь 16.11.11 20:26
Сообщение было скрыто модератором.
...
35. pakko 10 16.11.11 20:42 Сейчас в теме
А как же вариант - не по сети, а старый-добрый RDP
При этом через него запускается не сам рабочий стол, а только 1С-ка с параметрами чтобы без выбора базы.
Да и не забудь поставить запрет на запуск таких файлов для пользователя удалённого рабочего стола, как explorer.exe, cmd.exe, и прочие файлы, позволяющие открыть рабочий стол и прочие вкусности.

А ещё вариант - с компа №2 - убери все дискетки, сидирумы, В биосе закрой доступ к ЮСБ портам, запароль биос и поставь ключик на системный блок, чтобы не могли сбросить биос. Тоже вариант защиты. Удалить он сможет, теоретически, а вот стырить - сложновато. По крайней мере 7-ку.

Третий доп. вариант - поколдовать с групповыми политиками. Мол данным пользователям недоступно сетевое окружение. Ну это надо копатся, сам не разобрал
lsk.mask; +1 Ответить
36. MamontS 17.11.11 14:11 Сейчас в теме
Перевод базы на SQL-платформу, которая сама по себе защищена на порядок лучше, чем файловый вариант при любом раскладе. Поскольку "на живую" базу Скуля не умыкнешь, да и с подключением таковой в другом месте возникнет ряд проблем. А доступ к бэкапам (выгрузкам из Скуля или 1С) данной базы однозначно под строгий контроль...
37. vipshaalk 18.11.11 11:12 Сейчас в теме
не жалейте денег на хороших админов
rinerator; +1 Ответить
38. rinerator 18.11.11 11:53 Сейчас в теме
vipshaalk пишет:
не жалейте денег на хороших админов

+1000
viktor777; +1 Ответить
39. Atom74 40 19.11.11 10:14 Сейчас в теме
Однозначно в SQL или Терминальный доступ без подключения локальных дисков.
40. Atom74 40 19.11.11 10:21 Сейчас в теме
На клиента обрезать все варианты записи информации.
41. neonis 1 19.11.11 13:59 Сейчас в теме
На клиенте обрезать все варианты записи информации=)
Есть интернет почта - файл выгрузки не так много весит.

Файловый ни как.
База открыта на чтение и запись, для всех

Делаем терминал в нём даём право пользователям тока запуск 1С (если 2008 то создаём удалённое приложение), жестоко ограничеваем права в 1С, не кому нельзя давать права для входа в конфигуратор.
Умный маша, что сделает.
Нажмёт сохранить как, выбирет все файлы, найдёт файл базы данных, нажмёт на него ПКМ, копировать - найдёт свой ПК в сети скопирует в открытую папку и всё бывай страна свободная.
Закрываем все сетевые папки, но без них ни как, если не купить 1С документооборот!
42. neonis 1 19.11.11 14:12 Сейчас в теме
А если честно SQl решает все эти проблемы!
43. kykysk 19.11.11 18:52 Сейчас в теме
Однозначно SQL ключ решния проблем .
Для 1С пойдет и станадартая версия.
Тем боле это не единственный плюс SQL .
44. arhpapa 19.11.11 21:31 Сейчас в теме
А возможно в данном случае рассмотреть вариант шифрования?
Причем шифрования не всего Жесткого диска, а именно данных 1С?
45. suhoruk_zhenek 20.11.11 09:41 Сейчас в теме
Полностью согласен с pakko.

Также порекомендовал перейти на SQL-платформу + Терминальный сервер + Ограничить в правах пользователей.
46. mm1ck 6 20.11.11 12:29 Сейчас в теме
(1) На копе № 2 отрубить все внешние носители(CD флешки)+ запретить инет,
47. den_bo 78 20.11.11 13:17 Сейчас в теме
самый надёжный способ - хранить данные на другом сервере, подключатся к которму через rdp. или поднять сервер 1с.
48. Crazy1CC 20.11.11 22:35 Сейчас в теме
Самое хорошее решение это сделать временные закладки и пусть база заблокируется в некоторое время)))) И пусть прут базу)))) потом сами же и принесут))))
49. AnryMc 849 21.11.11 00:17 Сейчас в теме
(0)
Фирмой "1С" получен сертификат соответствия № 2137 от 20.07.2010 г., выданный ФСТЭК России, который подтверждает, что защищенный программный комплекс (ЗПК) "1С:Предприятие, версия 8.2z" признан программным средством общего назначения со встроенными средствами защиты информации от несанкционированного доступа (НСД) к информации, не содержащей сведения, составляющие государственную тайну. По результатам сертификации подтверждено соответствие требованиям руководящих документов по защите от НСД -5 класса, по уровню контроля отсутствия недекларированных возможностей (НДВ) по 4 уровню контроля, подтверждена возможность использования для создания автоматизированных систем (АС) до класса защищенности 1Г (т.е. АС, обеспечивающих защиту конфиденциальной информации в ЛВС) включительно, а также для защиты информации в информационных системах персональных данных (ИСПДн) до класса К1 включительно.

Сертифицированные экземпляры платформы маркированы знаками соответствия с № Г 420000 до № Г 429999.

http://www.1c.ru/news/info.jsp?id=12891
50. AndreykO 9 21.11.11 07:40 Сейчас в теме
да... выход один - следить за появлением новых технологий защиты информации и внедрять их... только это вариант для тех, чья информация стоит того, чтобы в неё вкладывали такие деньги. Но всё равно, это лишь снижает количество возможностей для несанкционированного доступа. Если же ценность информации достаточно высока, то одними программными средствами не обойтись - тут уже необходим комплекс мер, составленных из разного рода областей науки и техники, который, кстати, иногда обходится дешевле, чем самые навороченные программы :)
51. serg_zz 21.11.11 09:44 Сейчас в теме
Кстати есть бесплатный sql сервер PostgreSQL, который может работать с 1с довольно прилично!
52. Sumy123 21.11.11 16:53 Сейчас в теме
Нужно правильно прописать права на файлы, доступ к 1С только в терминальной сессии, безопасность в 1С настроить. На сервере с 1С папку зашифровать на уровне NTFS так, что даже если скопируют - не откроют на другом компе.
Подробности вам объяснит админ.
53. AnryMc 849 21.11.11 16:59 Сейчас в теме
Sumy123 пишет:

Нужно правильно прописать права на файлы, доступ к 1С только в терминальной сессии, безопасность в 1С настроить. На сервере с 1С папку зашифровать на уровне NTFS так, что даже если скопируют - не откроют на другом компе.
Подробности вам объяснит админ.


И что 1с будет расшифровывать???
54. Nado2010 21.11.11 17:54 Сейчас в теме
нужно просто правильно прописать каждому пользоваеля его права. иначе у вас не только база куда нибудь улетит но вся ваща документация
55. mcbase 59 21.11.11 18:02 Сейчас в теме
У меня база под sql вертится и всем пользователям права урезаны, чтобы в конфигуратор не ползали, а также в конфигураторе этим пользователям надо отрубить галочку, которая разрешает запускать внешние отчеты и обработки, иначе даже не имея доступа спомошью хитрой обработки смогут выгрузить любую инфу!!!
56. tedkuban 42 21.11.11 18:40 Сейчас в теме
Рассматриваем два варианта - размещение базы на SQL-сервере или на сервере терминалов.

Для обоих вариантов:
- доступ на запись к папке usrdef должен быть только у админа сети и администратора баз 1С, если это разные люди;
- доступ на запись к папке ExtForms - аналогично usrdef;
- разрешение на запуск прочих внешних отчетов и обработок - только у админов;
- разрешение на запуск конфигуратора - только у админов;

При размещении БД 1С в файл-серверном варианте с терминальным подключением:
- в настройках сервера терминалов запретить, как минимум, подключение дисков клиента, для параноиков - запретить все кроме принтеров, даже буфер обмена.
- если БД сама лежит на терминальном сервере - для сетевого адаптера отключить клиент для сетей Microsoft, чтобы на свой компьютер не могли скопировать, или могут ноут принести, открыть на нем гостевой доступ, и на него слить;
- если БД на другом компьютере - создать отдельный сегмент сети для сервера терминалов и сервера БД, настроить в нем отдельную IP-подсеть, потому что в этом случае на терминальном сервере клиента не запретить;

При размещении базы на SQL-сервере:
- создать специального пользователя SQL, предоставить ему полномочия db_owner для конкретной базы 1С, ни в коем случае не использовать учетку sa;

В SQL-варианте опасность заключается в том, что учетные данные для доступа 1С к SQL-серверу хранятся в каталоге базы данных, и, хотя они и зашифрованы, но шифрование там используется обратимое, поэтому умелый вор для кражи SQL-базы сначала расшифрует эти данные, потом воспользуется каким-то сторонним клиентом SQL, чтобы вытянуть всю базу.
В DBF-варианте при большом размере базы может просто не заработать. Возможен комбинированный вариант - терминальный доступ + SQL-база, в этом случае, если на терминальном сервере все запретить, то спереть оттуда файлик с учеткой SQL или закачать на него прогу для расшифровки будеть довольно трудно.

Если главная задача - защита от удаления своими же пользователями - только SQL, в DBF-варианте практически нет защиты, кроме бэкапа, а для нормального бэкапа либо обеспечивать отсутствие пользователей в базе в момент запуска регулярного задания, либо возиться с теневым копированием, которое работает, на мой взглад, странновато.
58. AleksN177 28.11.11 11:19 Сейчас в теме
SQL или терминальное подключение-решение вашей проблемы
59. lina_00 28.11.11 13:47 Сейчас в теме
1) SQL
2) ежедневное арзивирование баз
3) если файловая версия базы - запрет внешних носителей на компьютере пользователя, плюс запрет инетернета,плюс запрет доступа к компьютеру друга по сети, у которого есть возможность скинуть базу на внешний носитель
60. lina_00 28.11.11 13:47 Сейчас в теме
1) SQL
2) ежедневное архивирование баз
3) если файловая версия базы - запрет внешних носителей на компьютере пользователя, плюс запрет инетернета,плюс запрет доступа к компьютеру друга по сети, у которого есть возможность скинуть базу на внешний носитель
61. itxr 33 29.11.11 14:59 Сейчас в теме
полноценно вас защитит только SQL база. Ну и средства криптозащиты тоже вещь очень интересная. Защита данных стоит дорого. Но порой потерять клиентскую базу стоит в несколько раз дороже :)
62. xyzet 29.11.11 15:15 Сейчас в теме
Для защиты базы можно поставить терминальный сервер и пусть люди с ней работают через удаленный рабочий стол без интернета и возможности подключать переносные диски.
63. winego 29.11.11 15:52 Сейчас в теме
Отобрать права на чтение и выполнение explorer.exe у конкретного пользователя
64. Seven2000 29.11.11 16:19 Сейчас в теме
Пойду переводить на СКуЛь
65. metr02 22.12.11 21:18 Сейчас в теме
в файловом режиме, что ни делай, база будет доступна, как "ночная бабочка." Открыт общий доступ к папке с базой - этим все сказано.
Я соглашусь с теми, кто предлагал перевести работу на терминальный серевер и ограничить права юзеров. Легально, не нарушая лицензионные соглашения (для Windows), это возможно только купив Windows Server и клиентские лицензии терминального доступа.
66. vladarius 22.12.11 21:38 Сейчас в теме
А смогут ли доказать нелегальность использования Windows Server и клиентских лицензий терминального доступа???
67. cezey 22.12.11 23:05 Сейчас в теме
Смогут. На фирмах ставьте оф продукты и проблем не будет)
68. lodyr 18.12.07 17:32 Сейчас в теме
может быть не в том форуме, извиняюсь, подскажите как защитить базу, чтобы не сперли:)
есть локальная сеть, на одном из компов (1) установлена 1с и база
на другом компе (2) установлена 1с
на первом компе в сетевых настройках открыт доступ к базе и установлена галочка на изменение файлов по сети
Комп, номер 1, установлен за закрытой дверью
Как сделать так, чтобы с компа номер 2 нельзя было зайти в папку с базой 1с и ее стереть, скопировать или утащить?
69. ineoosaki 18.12.07 17:43 Сейчас в теме
Думаю никак, я у конкурентов стянул, правда только МД из папки NEW_STRU, но думаю и базу можно.
Вообщем все покупается и продается. Верить можно только себе.
70. lodyr 18.12.07 17:51 Сейчас в теме
т.е. любой сотрудник на фирме может стянуть всю базу 1с особо не заморачиваясь? так?
неужели все так просто?
ну может хоть как-то от "дураков" защититься?
71. ineoosaki 18.12.07 17:51 Сейчас в теме
А вообще посмотри на мисте, там есть статья в "коллективном разуме" о дырках в 1С.
72. ineoosaki 18.12.07 17:56 Сейчас в теме
Я не говорю, что очень просто, но сотрудник(оператор) обладая определенными знаниями и практикой, может.
Если не сможет по сети, то за "могорычь" сможет по-любому. ;)
73. ineoosaki 18.12.07 18:03 Сейчас в теме
Вообщем используй ментовской прием: ставь себя на место взломщика.
А вообще к кадрам надо присматриваться очень хорошо, как говаривал дедушка Сталин: "Кадры решают все".
74. support 4478 18.12.07 18:15 Сейчас в теме
Можно просто поставить КЗК2.0 Корпорацию.
http://kzk2.ru/
и все, база будет работать только у вас и нигде больше.
75. lodyr 18.12.07 18:15 Сейчас в теме
так я вот пишу пока про простое
т.е. со второго компа можно зайти в папку с базой на первом и все стереть или скопировать
от этого как-то можно защитится?
76. lodyr 18.12.07 18:25 Сейчас в теме
support Написал:
-------------------------------------------------------
> Можно просто поставить КЗК2.0 Корпорацию.
>
> и все, база будет работать только у вас и нигде
> больше.

а что мешает пользователю удалить всю базу по сети?
в конце рабочего дня, взять и удалить :)

77. ineoosaki 18.12.07 18:31 Сейчас в теме
Так и думал, что КЗК2 рано или поздно рекламнут :)))
78. ineoosaki 18.12.07 18:51 Сейчас в теме
support Написал:
-------------------------------------------------------
> Можно просто поставить КЗК2.0 Корпорацию.
>
> и все, база будет работать только у вас и нигде
> больше.

И что значит, не будет работать. Этого и не надо. Вся инфа из базы будет, как на ладони. Получить можна будет универсальными отчетами с ИТСа.

79. ineoosaki 18.12.07 19:16 Сейчас в теме
2 lodyr
для начала здесь почитай
http://www.kb.mista.ru/article.php?id=55

а вообще там много материала по теме, в том числе и веток на форуме
Особенно прикололо это:

Omega 35 - 16.12.05 - 16:57
(+33)
самая страшная угроза, это когда карандашом данные с монитора переписываются на листочек, а листочек прячется в брюки и выносится за пределы предприятия.
80. lodyr 18.12.07 19:24 Сейчас в теме
ineoosaki
спасибо за ссылку, буду читать
81. lodyr 19.12.07 09:21 Сейчас в теме
там нет про защиту от копирования по сети
подскажите как выставить права, чтобы пользователь не стер и не скопировал, а 1с нормально работала?
82. vasilykushnir 63 19.12.07 10:01 Сейчас в теме
lodyr Написал:
-------------------------------------------------------
> т.е. любой сотрудник на фирме может стянуть всю
> базу 1с особо не заморачиваясь? так?
> неужели все так просто?
> ну может хоть как-то от "дураков" защититься?
>


Сначала раставь акценты:
1. Стащить базу
2. Грохнуть базу.

Лечение:
1. Ставь юзеру тонкого клиента с загрузкой по сети из сервера: дисков нет, флопов нет, флэх нет - не скопирует. Но может интерисующую информацию распечатать - не проконтролируешь..
2. Не давать никакого доступа этому юзеру к конкретной базе. Если же доступ нужен, защиты от порчи (удаления) нет, но есть лекарство - для первого раза в дыню, второго не будет...
83. -Alfa- 30.01.08 16:08 Сейчас в теме
Если ты lodyr - администратор своей небольшой сети, то я на твоем месте поступил бы так.
1 Создал бы на компьютере за дверью учетную запись с ограничениями на установку программ и изменение системных настроек. Установил бы в свойствах папки запрет на просмотр скрытых и системных файлов.
2 Нужные программы поставил бы пользователю сам, ну там пусть винамп, видео, косынку или кваку на худой конец гоняет, чтоб не ныл что ты злой человек.
3 Установил бы на папку с расшаренной базой 1С атрибут "скрытый".

В итоге пользователь не сможет увидеть содержимое папки 1с, и скопировать тоже и грохнуть. а Тотал коммандер и другие менеджеры не сможет установить-запрещено, пусть пользуется проводником виндовым. Этот метод успешно опробовал в своей сети, когда встал точно такой же вопрос о безопасности данных. Понятное дело, метод можно обойти, но надо покопаться, запросто так базу не стащить.
84. Abadonna 3971 31.01.08 01:15 Сейчас в теме
Счастливчики вы! Уже год пытаюсь рассказать юзверям, что кроме Рабочего стола на компьютере есть еще места, где можно хранить свои файлы - бесполезно. Если файл не на рабочем столе - его нет вообще: вот их философия ;)
Оставьте свое сообщение

Для получения уведомлений об ответах подключите телеграм бот:
Инфостарт бот