При проектировании программного продукта «Битрикс24» в коробке» вопросам безопасности продукта уделялось особое значение на всех этапах разработки и тестирования.

Внутренний аудит
Наш внутренний отдел информационной безопасности производит постоянный мониторинг нового программного кода, генерируемого разработчиками. Он заключается в моделировании угроз безопасности, различных классах атак, попытках реализации технического взлома портала различными приемами и экспериментами.

Это кропотливая и сложная работа, требующая превосходного знания нашей программной платформы, работы браузеров и веб-серверов, PHP и различных СУБД. Данные специалисты не участвуют в разработке функционала, поскольку на практике практически невозможно одновременно разрабатывать функционал и учитывать все аспекты надежности программного кода к взлому.

Это отдельный технологический цикл, и мы считаем его обязательным для общего процесса разработки.

Как бы не был востребован новый функционал, как бы не хотелось его скорее выпустить и предоставить нашим клиентам и партнерам, окончательное решение по включению его в систему обновлений дают специалисты по безопасности.

Внешний аудит
Несмотря на то, что компания «1С-Битрикс» уделяет важнейшее значение вопросам безопасности в программном продукте и безопасной разработке веб-приложений, для обеспечения нового уровня защищенности и предоставления большей уверенности для клиентов был  проведен независимый аудит защищенности наших продуктов.

Виды виртуальной машины 1C-Битрикс

«Виртуальная машина» поставляется в нескольких вариантах:
«1C-Битрикс: Виртуальная машина» (BitrixVM)
«Виртуальная машина «1С-Битрикс24» - CRM» (VMBitrix.CRM)
«1С-Битрикс: Веб-окружение» - Linux (BitrixEnv)
AMI-образ Amazon EC2

Все варианты поставок «1C-Битрикс: Виртуальная машина» по функционалу не отличаются друг друга (за исключением VMBitrix.CRM). Отличие лишь состоит в способе развертывания самого веб-окружения.

Скачать последние версии для всех вариантов поставок можно на сайте 1С-Битрикс.

При включенной двухэтапной (двухфакторной) авторизации нужно не только ввести свой логин и пароль, но еще и индивидуальный уникальный код, который формируется в момент авторизации в приложении на смартфоне пользователя. Таким образом, обязательно нужно личное присутствие, что максимально обезопасит все данные на вашем Битрикс24 от попыток входа сторонними людьми.

Внимание! Перед использованием двухэтапной авторизации важно установить правильное время и часовой пояс на телефоне. Также на телефоне не рекомендуется изменять основное время, т.е при перемещении в другие локации пользоваться только ручным или автоматическим изменением часового пояса.

В январе 2021 года компании «1С-Битрикс» и Selectel провели нагрузочное тестирование продукта «1С-Битрикс24: Enterprise», для оценки производительности построенного на его основе интранет-портала большой корпорации.

В ходе нагрузочного тестирования на интранет-портал, развернутый в кластерном решении и наполненный большим количеством тестовых данных, подавалась нагрузка, имитирующая поведение реальных пользователей.

Виртуальные пользователи выполняли наборы операций, свойственные типовым сценариям работы: авторизовывались на портале, читали новости, группы и ленту Новостей, создавали индивидуальные и групповые чаты, обменивались мгновенным сообщениями, ставили задачи, загружали документы, выполняли бизнес-процессы. Каждый пользователь выполнял один из типовых сценариев и завершал работу с порталом.

Ключевые задачи теста:
смоделировать работу интранет-портала большой корпорации (100 тысяч сотрудников, большое количество демонстрационных данных);
обеспечить методику тестирования, максимально близкую к поведению пользователей в реальной жизни;
продемонстрировать стабильную работу портала без наличия ошибок, в случае одновременной работы с порталом трети от всех сотрудников корпорации (не менее 30 тыс.) на доступном оборудовании;
подтвердить эффективность технологии «Веб-кластер» в продукте «1С-Битрикс24: Enterprise»;
обеспечить время отклика портала не более 1 секунды (для 95% запросов).

Выводы:
Результаты проведенного тестирования «1С-Битрикс24: Enterprise» подтвердили высокую производительность платформы и стабильность при работе с большими нагрузками. Демонстрационный портал, развернутый в кластерном решении из 5 серверов, обеспечил одновременную работу 30 тысяч пользователей, а это соответствует примерному профилю нагрузки для крупной корпорации, в которой работает 100-200 тысяч сотрудников.

При этом система обеспечила быстрый (даже по меркам интернет-проектов) отклик, для подавляющего большинства запросов не превышающий 1 сек, что, безусловно, делает работу с порталом комфортной для современного пользователя. Технология «Веб-кластера» вновь подтвердила свою производительность и надежность.

Методика тестирования, сценарии и профили нагрузки, использование физических пользовательских профилей максимально приблизили условия теста к реальным. Это дает возможность использования результатов данного тестирования как эталонных, на которые можно опираться при проектировании новых проектов.

Важно отметить, что нами не преследовалась цель максимизация показателей по сгенерированному контенту на портале за время теста (новостям, задачам, документам, сообщениям и другим). Важнее было обеспечить их соответствие реальной жизни. И тем не менее, скорость добавления информации на портал оказалась также очень высокой, что покрывает потребности многих заказчиков с большим запасом!

Методику тестирования, конфигурацию портала и тестового стенда мы готовы предоставлять по запросу нашим корпоративным заказчикам и интеграторам как основу для проведения полномасштабного тестирования собственных разработанных порталов или их прототипов, проверки гипотез, расчета запаса прочности решения при пиковых нагрузках. Разворачиваемые стенды могут дополняться индивидуальными условиями, в частности интеграциями с корпоративными системами предприятия, которые планируются в проекте. Это позволит получить более точные результаты.

Если внутрикорпоративный портал доступен для просмотра только из внутренней сети организации (за брэндмауэром), то, безусловно, он менее уязвим для атак извне, чем корпоративный сайт.

Но внутри компании существует гораздо более существенная проблема – возможные инсайдеры. Недобросовестные сотрудники могут воспользоваться уязвимостями в программном обеспечении портала и заполучить секретные сведения, нарушить целостность документов, либо вызвать отказ в обслуживании.

На портале может лежать важная информация, начиная от финансовой отчетности компании до личной переписки между директорами подразделений и обсуждения организационных вопросов. Нельзя допустить, чтобы кто-то получил к ней несанкционированный доступ.

Кроме этого, часто сеть настраивают так, что в ряде случаев портал может быть доступен и извне компании, например, для работы сотрудников в командировках или внештатных служащих.

Уязвимости веб-приложений
Существует целый класс уязвимостей, которым подвержены веб-приложения. Но очень часто проблемы информационной безопасности остаются за рамками бюджета или вообще не фигурируют в этапах разработки.

Перечислим некоторые из наиболее часто встречающихся проблем:

Cross Site Scripting
SQL- injection
PHP- injection
HTTP Response Splitting
HTML code injection
File Inclusion
Directory traversal и некоторые другие.
Перечисленные типы уязвимостей могут встречаться во всех веб-приложениях, независимо от того, разработаны они одним специалистом или известной компанией. Только системное проектирование, продумывание вопросов безопасности на всех этапах разработки и детальное тестирование готового приложения могут позволить исключить появления уязвимостей.

Если Портал размещен на внешнем хостинге, или у сотрудников есть доступ в Интернет, необходимо обеспечить защиту от большинства известных атак на веб-приложения. Для этого в новую версию продукта включен модуль «Проактивная защита», который позволяет повысить уровень защищенности Портала благодаря встроенному в продукт проактивному фильтру (Web Application Firewall).

Проактивная защита – это целый комплекс технических и организационных мер, которые объединены общей концепцией безопасности и позволяют значительно расширить понятие защищенности и реакции веб-приложений на угрозы.

«1С-Битрикс» постоянно проводит аудит и тестирование защитных механизмов продукта «Битрикс24» в коробке» и делает это не только собственными силами, но и с привлечением сторонних экспертных компаний. Полученные в результате испытаний сертификаты от этих компаний подтверждают качество защитных механизмов продукта и соответствие их современным требованиям обеспечения информационной безопасности.

Продукт «Битрикс24» в коробке» постоянно обновляется, выпускаются новые функциональные возможности модулей, обновления для интерфейса, новые версии.

Обновление продукта выполняется по технологии SiteUpdate, которая позволяет без дополнительных расходов скачивать и устанавливать обновления без привлечения технических специалистов. Обновления не затрагивают публичную часть вашего сайта, не нарушают контент и полностью исключают потерю данных.

Технология SiteUpdate
Уникальная технология SiteUpdate позволяет без дополнительных расходов скачивать обновления продукта и новые модули. Данные загружаются с сайта компании «1С-Битрикс» через веб-интерфейс административного раздела продукта. Обновления не затрагивают публичную часть Битрикс24, полностью исключая потерю данных.

При загрузке обновлений запрашивается лицензионный ключ продукта. После проверки обновлений системы владельцу предлагается выбрать, какие обновления и модули необходимо загрузить. Все обновления и новые модули сначала сжимаются, а затем загружаются на портал владельца. Компрессия данных в несколько раз увеличивает скорость загрузки обновлений продукта.
Таким образом, владелец продукта может поддерживать постоянную актуальность системы и оперативно получать новые модули.

Что дает обновление системы?
Новые возможности
Развивайте ваш корпоративный портал, добавляйте новые возможности для ваших сотрудников и рабочих групп. Постоянно получая обновления, вы всегда будете иметь самую последнюю версию продукта. Новые функциональные возможности выходят с обновлениями продукта и становятся доступным каждому клиенту.

Безопасность сайта
Корпоративный портал является традиционным программным приложением, которое работает в рамках операционной системы и серверного программного обеспечения, использует сервисные функции операционной системы и других программных продуктов. Это означает, что вопросам безопасности должно уделяться серьезное внимание.

Использование системы обновлений SiteUpdate надежно защитит ваш проект от уже известных и вновь выявляемых опасностей, связанных с работой в сети Интернет и защитой данных.

Бесплатные обновления
Каждый пользователь продукта в течение 1 года после покупки может бесплатно получать все обновления продукта. В дальнейшем можно продлить срок действия обновлений.

На всех продуктах «1C-Битрикс» стоимость продления составляет 25% от цены лицензии. Срок активности лицензии продлевается на один год с момента активации купона. Активировать купон продления можно до окончания периода активности лицензии в течение 30 дней. В течение года лицензию можно продлить только один раз.

Веб-сервер, который может выполнять PHP приложения
Apache (рекомендуется) –  система также успешно работает на версии 2.4.х.
nginx – требуется самостоятельная настройка для корректной работы. Версия – желательно последняя стабильная 1.16.х и выше.

Требования к PHP
Для работы продукта с 1 февраля 2022 года минимальная версия PHP – 7.4, рекомендуемая – 7.4.х.

Для корректной работы также требуется наличие следующих расширений PHP:
GD – библиотека для работы с изображениями. Требуется для построения графиков и диаграмм для модулей статистики, рекламы, техподдержки. Используется для работы механизма CAPTCHA.
PHP XML – используется для работы системы обновлений. Библиотека по умолчанию включена в стандартной установке PHP. Для версии под Windows - поддержка встроенная.
FreeType – библиотека необходима для корректной работы механизма CAPTCHA.
Поддержка регулярных выражений (POSIX и Perl-compatible) – необходима для корректной работы внутренних механизмов
Zlib compression – библиотека компрессии. Используется для работы модуля Компрессии и при работе системы обновлений для уменьшения количества передаваемых данных от сервера к клиенту.
Крайне рекомендуется наличие акселератора PHP (OPcache, XCache, APC и другого). Рекомендуется OPcache, входит в состав PHP v5.5+.

Внимание! Особенности использования:
Прекомпилятор XCache: его параметр для корректной работы продукта должен быть выключен – xcache.cacher = Off.
eAccelerator не совместим с PHP v5.3+ и больше не поддерживается в продуктах «1C-Битрикс» с версии ядра 15.0.13. Подробнее см. в блоге разработчиков.
Для базы данных MySQL доступна кодировка UTF-8. Для корректной поддержки кодировки UTF-8 необходимо проверить в настройках PHP php.ini, должно быть:
mbstring.func_overload=0
default_charset=UTF-8

Поддержка баз данных
MySQL – желательно использовать версии MySQL 5.7.х (Percona Server).
Для работы с СУБД MySQL также требуется установленная поддержка MySQL для PHP.

Внимание! Базы данных Oracle, MSSQL, PostgreSQL не поддерживаются.

Место на жестком диске
Рекомендуется выделять как минимум 10Гб на начальном этапе без учета ОС. В зависимости от количества документов места может потребоваться и больше, но 10Гб – это минимум.
Оперативная память
Минимум – 2 Гб, лучше больше.

Конфигурации серверов для коробки Битрикс24 с комфортным быстродействием:
До 50 пользователей: Intel Xeon E3-1230v5 3.4 ГГц, 4 ядра / 2 × 2 Тб HDD под файлы портала / 2 х 256 Гб SSD под файлы базы данных / 16 Гб DDR4.
50 – 100 пользователей: Intel Xeon E3-1230v5 3.4 ГГц, 4 ядра / 2 × 2 Тб HDD под файлы портала / 2 х 256 Гб SSD под файлы базы данных / 24 Гб DDR4.
100 – 500 пользователей: Intel Xeon E3-1230v5 3.4 ГГц, 4 ядра / 2 × 2 Тб HDD под файлы портала / 2 х 256 Гб SSD под файлы базы данных / 32 Гб DDR4.
500 – 1000 пользователей: Intel Xeon E5-1650v4 3.6 ГГц, 6 ядер / 2 × 4 Тб HDD под файлы портала / 2 х 480 Гб SSD под файлы базы данных / 64 Гб DDR4.
1000 – 5000 пользователей: Intel Xeon E5-1650v4 3.6 ГГц, 6 ядер / 2 × 4 Тб HDD под файлы портала / 2 х 480 Гб SSD под файлы базы данных / 128 Гб DDR4.
От 5000 пользователей: 2 сервера Intel Xeon E5-1650v4 3.6 ГГц, 6 ядер / 2 × 4 Тб HDD под файлы портала / 2 х 480 Гб SSD под файлы базы данных / 128 Гб DDR4.
Эти конфигурации примерные, и большинству проектов может потребоваться значительно меньше ресурсов. А кому-то, наоборот, может и не хватить.