Взлом и защита 1С Обзор взлома и защиты 1С: Предприятия Владимир Иванов ivanov-soft@inbox.ru. - презентация

1 Взлом и защита 1С Обзор взлома и защиты 1С: Предприятия Владимир Иванов

2 Пример семинара-тренинга Что это за демонстрация? Это пример заказного семинара тренинга по безопасности для 1С: Предприятия Вы увидите демонстрацию продуктов: «Инсайдер Сканнер», «Бизнес Сканнер», «RLS-Защита» и др. Вы можете заказать такой семинар (цены на услуги в конце)

3 Пример семинара-тренинга Программа семинара Методика инсайдерского взлома Взлом и защита DBF-версии Взлом и защита 1С под Терминалом Взлом и защита 1С для MS SQL Мифические защиты 1С «Бизнес Сканнер» (OLAP-защита) «RLS-Защита 1С для MS SQL» «Инсайдер Сканнер» (Сканнер для 1С)

4 Пример семинара-тренинга Инсайдерский взлом В 80% взлом БД происходит при участии сотрудников компании Сотрудники компании знают, как можно извлечь деньги из информации Типичная «команда» взлома: «заказчик-сотрудник-студент/хакер»

5 Пример семинара-тренинга Из какой информации можно извлечь выгоду? Клиенты и контактные лица Данные о доходах сотрудников Себестоимость товаров и закупки Данные об уступках др. клиентам Важно! Сотрудник необязательно должен продавать секретную информацию, он может ее эффективно использовать для повышения своей ЗП и премиальных.

6 Пример семинара-тренинга Доступ к данным 1С в DBF MS Query + Excel = полный анализ базы 1С в DBF Проверки доступа к DBF не существует

7 Пример семинара-тренинга Защита 1С для DBF Управление доступом через NTFS (только частичные решения) Скрытие файлов через атрибуты hidden и system Крипто-решения компании Аладдина: SecureDisk, iToken, iButton Осторожно! Возможны несовместимости!

8 Пример семинара-тренинга Взлом 1С для Терминала Копирование БД из сетевой папки Захват DeskTop Взлом через «Ctrl+O» Запуск троянской конфигурации 1С Запуск удаленной программы (Far) из 1С Анализ «без выноса» на сервере через MS Office Прослушивание сети Троянец Взлом «Ctrl+O» Прослушка Захват DeskTop

9 Пример семинара-тренинга Защита 1С под Терминалом Закрытие файлового порта (возникают проблемы с печатью, нужна настройка) Установка сервера, на котором работает только 1С (даже без MS Office). Установка и правильная настройка терминальных сервисов для 1С - $150 Терминал с криптографией в Windows 2000 Установка Citrix MetaFrame c включением CSG и SSL-128 (дорого $5000-$10000)

10 Пример семинара-тренинга Взлом 1С для SQL Дешифрация пароля DBO из 1CV7.DBA - расшифровка программой/конфигурацией - расшифровка трассировкой 1С в Debugger VC++ Анализ временных файлов 1С в DBF Захват хендела ODBC-коннекции 1С (как в rainbow) Прослушивание сети

11 Пример семинара-тренинга Защита 1С для SQL Включение SSL - $150 Запуск 1С не под sa - $30 Разбиение на несколько БД Настройка аудита через SQL Profiler - $150 Лучше вместо SQL Profiler использовать специальный сканнер для 1С/SQL «Инсайдер Сканнер»

12 Пример семинара-тренинга Мифические защиты 1С «Второй пароль» «Конфигурация 1С с защитой» «Поставим терминал и все Ok!» «Поставим MS SQL и все Ok!» «Включим через хак Trusted Security» «Зашифруем диски» «У нас есть абсолютная защита»

13 Бизнес Сканнер OLAP-защита аналитических разрезов вашей статистики

14 Пример семинара-тренинга Кластер MS SQL 2000 «Бизнес Сканнер» в Сатурн OLAP-система на MS SQL 2000 MS SQL Филиал1 MS SQL Филиал2 DBF Филиал3 MS SQL ЦО, DWH MS OLAP Icremental MS Excel XP Дельта Готовые Итоги

15 Пример семинара-тренинга Проблема и решение Проблема: как ограничить доступ к отдельным группам и подгруппам товаров, контрагентов, данным по себестоимости для некоторых складов и т.д. Решение: настоящая OLAP-система поддерживающая MS OLAP Security «Бизнес Сканнер»

16 Пример семинара-тренинга Что входит в Бизнес Сканнер? Комплекс готовых OLAP-отчетов: Баланс Компании, Движение Денежных Средств, Доходы и Расходы, Прибыли и Убытки и др. Защита всех OLAP-отчетов: через Trusted Security, фильтры доступа, контроль разрезов…

17 Пример семинара-тренинга Что дает Бизнес Сканнер? Выявление бизнес-рисков через комплексный анализ Нет инсайдерам - защита разрезов информации Все отчеты за 1 сек Без выгрузок! «Инерция» всего 2 мин! Консолидация статистики с филиалов Снижение затрат на разработку и защиту новой отчетности

18 Пример семинара-тренинга OLAP-защита разрезов статистики «Бизнес Сканнер» В MS SQL (Analysis Services) можно настроить доступ к разрезам аналитики OLAP-кубы можно открыть в Excel ИспользуйтеБизнес Сканнер - от $500 Внимание! Все OLAP-продукты с «1С-совместимо» не используют MS Analysis Services

19 Пример семинара-тренинга Бизнес Сканнер – это бизнес-решение Бизнес Сканнер – это готовый аналитический пакет Примеры бизнес отчетов смотрите в презентации на

20 RLS-Защита 1С для MS SQL Row Level Security для 1С на базе restricted view

21 Пример семинара-тренинга Защита 1С для SQL Интеграция безопасности 1C, Windows и MS SQL на базе Trusted Security Включение секретности MS SQL для 1С: - пользователи работают с 1С не как DBO - управления правами через grant и view Row Level Security. Пользователь видит только часть «Номенклатуры», «Контрагентов» и т.д. Убыстрение работы 1С до 50% Контроль машин, с которых входят в 1С Простота установки на любую конфигурацию Стойкость защиты к дешифрации паролей 1С Открытый код аудита и модификации

22 Пример семинара-тренинга Защита 1С для SQL Row Level Security Защита справочников Row Level Security Защита журналов Trusted Security, Host, Net Add, ID-сертификат

23 Пример семинара-тренинга Создайте magic user для 1С! S1 Database Owner S2 Guest («Гость») Читатель метаданных Защита 1С: Предприятия для SQL Создает

24 Пример семинара-тренинга Архитектура RLS-Защиты Вход в MS SQL как S2(«гость») MS SQL 1С Менеджер Процессов Проверки: App? User NT? Host? Net Add? Запрос менеджеру процессов через ADO Представления с Row Lev. Sec. Доступ

25 Пример семинара-тренинга Защита таблиц 1С через view create view DH4382 as select * from DH4382_HIDE where ivn_CheckSec() Таблицы 1С закрыты через updateable view Защита на view не «роняет» 1С, если прав нет Применение view позволяет реализовать Row Level Security Проверка и login_time

26 Пример семинара-тренинга Row Level Security разрежьте таблицы для пользователей… create view _1SJOURN as select * from _1SJOURN_HIDE where SP1005 in ivn_CheckSC1('SC13') Row Level Security позволяет «показать» пользователю только часть клиентов, номенклатуры, журнала документов и т.д. «Невидимая» часть таблицы защищена RLS от просмотра и модификации пользователем

27 Пример семинара-тренинга Защита на сертификатах (опциональный вариант) Сертификат – это файл, который если расшифровать через пароль, то можно получить доступ к ресурсу Хваленная защита Lotus Domino построена на ID-сертификатах Преимущества: - его нельзя запомнить, как пароль - можно закрыть через NTFS

28 Пример семинара-тренинга Защита ускоряет работу 1С до 50% 1С обычно ищет/выбирает данные путем перебора всех элементов справочника или всех документов журнала Доступность только части таблицы повышает скорость выборок/поисков на 30-40% На сами проверки доступа расходуется около 1-2% мощности сервера.

29 Пример семинара-тренинга Минусы блокирующих защит Любая защита блокирующая доступ может привести к проблемам совместимости, потребуется настройка «исключений» Любая защита блокирующая доступ требует настройки «прав» Перед внедрением блокирующей защиты на базе RLS или криптографии нужно обследование и пилотный проект

30 Инсайдер Сканнер Активный сканнер безопасности для 1С: Предприятия для MS SQL

31 Пример семинара-тренинга Зачем мне «Инсайдер Сканнер»? Выявление инсайдеров в компании Блокирование доступа инсайдерам Защита БД в реальных условиях (возможное наличие «дыр») Система самообучения – Защита данных без трудоемких настроек безопасности Как и у всех сканнеров нет проблем с совместимостью с вашей БД

32 Пример семинара-тренинга Инсайдер Сканнер Trusted Security для 1С Выявление «нетипового» поведения пользователя Обнаружение проникновений с административным доступом Активный аудит «Контратака хакера»

33 Пример семинара-тренинга Архитектура «Инсайдер Сканнера» в основе сканирование процессов MS SQL Обычный вход в MS SQL MS SQL 1С Инсайдер Сканнер Проверки: User NT=1С? Host? App? Аутентификация 1С-Пользователя в SQL Таблицы 1С и SQL-процессы Сканир. процессов

34 Пример семинара-тренинга Инсайдер Сканнер в действии Результат самообучения Инсайдер Сканнер: разрешенные конфигурации доступа пользователей Вы можете отредактировать их вручную в Ent. Manager Инсайдер Сканер за работой: отчет об активных пользователях 1С в Ent. Manager Обратите внимание! Инсайдер Сканнер «видит» пользователей 1С в SQL-процессах

35 Пример семинара-тренинга Услуги и продукты Криптография от Аладдина от $150 Настройка терминала - $150 Настройка аудита 1C для SQL - $150 Включение SSL - $150 Бизнес Сканнер (OLAP)* от $500 RLS-Защита 1С для SQL*- $500 Инсайдер Сканнер* - $500 Не знаете что выбрать? Закажите этот семинар себе за $190! * -указана цена с внедрением