1सी उपयोगकर्ता आईबी एक से अधिक तत्वों से मेल खाता है। आईबी प्रबंधन

सूचना सुरक्षासूचना सुरक्षा की तरह, सुरक्षा सुनिश्चित करने के उद्देश्य से एक जटिल कार्य है, जिसे सुरक्षा प्रणाली लागू करके लागू किया जाता है। सूचना सुरक्षा की समस्या बहुआयामी और जटिल है और इसमें कई महत्वपूर्ण कार्य शामिल हैं।

समाज के सभी क्षेत्रों में डेटा प्रोसेसिंग और ट्रांसमिशन के तकनीकी साधनों के प्रवेश से सूचना सुरक्षा समस्याएं लगातार बढ़ रही हैं, यह समस्या वित्तीय लेखांकन प्रणालियों के क्षेत्र में विशेष रूप से गंभीर है; रूस में सबसे लोकप्रिय लेखांकन, बिक्री और सीआरएम प्रक्रिया प्रणाली 1सी एंटरप्राइज प्रणाली है।

आइए 1सी प्रोग्राम का उपयोग करते समय संभावित सुरक्षा खतरों पर विचार करें।

	फ़ाइल स्वरूप में डेटाबेस के साथ 1सी का उपयोग करना। 1C फ़ाइल डेटाबेस भौतिक प्रभाव के प्रति सबसे अधिक असुरक्षित हैं। यह इस प्रकार के डेटाबेस की वास्तुशिल्प विशेषताओं के कारण है - ऑपरेटिंग सिस्टम के सभी उपयोगकर्ताओं के लिए सभी कॉन्फ़िगरेशन फ़ाइलों और फ़ाइल डेटाबेस को खुला (पूर्ण पहुंच के साथ) रखने की आवश्यकता। परिणामस्वरूप, कोई भी उपयोगकर्ता जिसके पास 1C फ़ाइल डेटाबेस में काम करने का अधिकार है, वह सैद्धांतिक रूप से दो माउस क्लिक के साथ 1C सूचना डेटाबेस को कॉपी या हटा भी सकता है।
	DBMS प्रारूप में डेटाबेस के साथ 1C का उपयोग करना।इस प्रकार की समस्या तब उत्पन्न होती है जब एक DBMS (PosgreSQL, MS SQL) का उपयोग 1C डेटाबेस के लिए भंडारण के रूप में किया जाता है, और एक एंटरप्राइज़ 1C सर्वर का उपयोग 1C और DBMS के बीच एक मध्यवर्ती संचार सेवा के रूप में किया जाता है। यह एक उदाहरण है - कई कंपनियां अपनी आवश्यकताओं के अनुरूप 1सी कॉन्फ़िगरेशन को संशोधित करने का अभ्यास करती हैं। परिशोधन की प्रक्रिया में, परियोजना "उपद्रव" की स्थितियों में, नई, बेहतर कार्यक्षमता का निरंतर परीक्षण, जिम्मेदार विशेषज्ञ अक्सर नेटवर्क सुरक्षा के नियमों की उपेक्षा करते हैं। परिणामस्वरूप, कुछ व्यक्ति जिनके पास DBMS डेटाबेस तक सीधी पहुंच है या जिनके पास 1C एंटरप्राइज़ सर्वर पर व्यवस्थापक अधिकार हैं, यहां तक ​​कि अस्थायी परीक्षण अवधि के लिए भी, वे या तो बाहरी संसाधनों की बैकअप प्रतिलिपि बना सकते हैं या DBMS में डेटाबेस को पूरी तरह से हटा सकते हैं।
	सर्वर उपकरण का खुलापन और पहुंच।यदि सर्वर उपकरण तक अनधिकृत पहुंच है, तो कंपनी के कर्मचारी या तीसरे पक्ष इस पहुंच का उपयोग जानकारी चुराने या क्षति पहुंचाने के लिए कर सकते हैं। सीधे शब्दों में कहें तो, यदि कोई हमलावर 1सी सर्वर की बॉडी और कंसोल तक सीधी पहुंच प्राप्त करता है, तो उसकी क्षमताओं की सीमा दस गुना बढ़ जाती है।
	व्यक्तिगत डेटा की चोरी और रिसाव का जोखिम।यहां, व्यक्तिगत डेटा की सुरक्षा के लिए वर्तमान खतरों को उन स्थितियों और कारकों के एक समूह के रूप में समझा जाता है जो सूचना प्रणाली में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा तक अनधिकृत, आकस्मिक सहित पहुंच का वर्तमान खतरा पैदा करते हैं, उदाहरण के लिए, जिम्मेदार कर्मचारियों द्वारा, पीसी संचालक, लेखा विभाग, आदि। इसके परिणामस्वरूप व्यक्तिगत डेटा का विनाश, संशोधन, अवरोधन, प्रतिलिपि बनाना, प्रावधान, वितरण, साथ ही जिम्मेदार व्यक्तियों के अन्य गैरकानूनी कार्य हो सकते हैं।
	नेटवर्क सुरक्षा. GOST, सुरक्षा आवश्यकताओं, अनुशंसाओं के उल्लंघन या उचित आईटी समर्थन के अभाव में निर्मित एक उद्यम सूचना प्रणाली छिद्रों, वायरस और स्पाइवेयर और कई बैकडोर (आंतरिक नेटवर्क तक अनधिकृत पहुंच) से भरी हुई है, जो सीधे कॉर्पोरेट डेटा की सुरक्षा को प्रभावित करती है। 1सी. इससे किसी हमलावर के लिए व्यावसायिक रूप से संवेदनशील जानकारी तक आसान पहुंच हो जाती है। उदाहरण के लिए, एक हमलावर व्यक्तिगत लाभ के लिए बैकअप प्रतियों तक मुफ्त पहुंच और बैकअप प्रतियों वाले अभिलेखागार के लिए पासवर्ड की अनुपस्थिति का उपयोग कर सकता है। वायरल गतिविधि से 1C डेटाबेस को होने वाली प्राथमिक क्षति का उल्लेख नहीं किया गया है।
	1सी और बाहरी वस्तुओं के बीच संबंध।एक अन्य संभावित खतरा "बाहरी दुनिया" के साथ संचार करने के लिए 1सी अकाउंटिंग डेटाबेस की आवश्यकता (और कभी-कभी एक विशेष विपणन सुविधा) है। ग्राहक बैंकों के अपलोड/डाउनलोड, शाखाओं के साथ सूचना का आदान-प्रदान, कॉर्पोरेट वेबसाइटों, पोर्टलों, अन्य रिपोर्टिंग कार्यक्रमों, ग्राहक और बिक्री प्रबंधन और बहुत कुछ के साथ नियमित सिंक्रनाइज़ेशन। चूंकि 1C के इस क्षेत्र में सुरक्षा मानकों के अनुपालन और नेटवर्क सूचना विनिमय की एकरूपता को प्रोत्साहित नहीं किया जाता है, इसलिए इसके मार्ग में किसी भी बिंदु पर रिसाव काफी वास्तविक है। ट्रैफ़िक की सुरक्षा के लिए आवश्यक उपायों के लिए प्रक्रिया स्वचालन या बजट में कटौती के लिए गैर-मानक सुधार की आवश्यकता के परिणामस्वरूप, कमजोरियों, छिद्रों, असुरक्षित कनेक्शन, खुले बंदरगाहों, अनएन्क्रिप्टेड रूप में आसानी से सुलभ विनिमय फ़ाइलों आदि की संख्या तुरंत बढ़ जाती है। लेखा प्रणाली में. आप सुरक्षित रूप से कल्पना कर सकते हैं कि इससे क्या हो सकता है - एक निश्चित समय के लिए 1सी डेटाबेस को प्राथमिक रूप से अक्षम करने से लेकर कई मिलियन के भुगतान आदेश की जालसाजी तक।

ऐसी समस्याओं के समाधान के लिए क्या प्रस्तावित किया जा सकता है?

1. 1C फ़ाइल डेटाबेस के साथ काम करते समयठिकानों की सुरक्षा सुनिश्चित करने के लिए कई उपायों को लागू करना अनिवार्य है:

• एनटीएफएस पहुंच प्रतिबंधों का उपयोग करते हुए, केवल उन उपयोगकर्ताओं को आवश्यक अधिकार दें जो इस डेटाबेस के साथ काम करते हैं, जिससे डेटाबेस को बेईमान कर्मचारियों या हमलावर द्वारा चोरी या क्षति से बचाया जा सके;
• उपयोगकर्ता वर्कस्टेशन में लॉग इन करने और नेटवर्क संसाधनों तक पहुंचने के लिए हमेशा विंडोज प्राधिकरण का उपयोग करें;
• एन्क्रिप्टेड डिस्क या एन्क्रिप्टेड फ़ोल्डर का उपयोग करें जो आपको 1सी डेटाबेस हटाने पर भी गोपनीय जानकारी सहेजने की अनुमति देगा;
• एक स्वचालित स्क्रीन लॉकिंग नीति स्थापित करें, साथ ही प्रोफ़ाइल लॉकिंग की आवश्यकता को समझाने के लिए उपयोगकर्ता को प्रशिक्षण प्रदान करें;
• 1सी स्तर पर पहुंच अधिकारों के विभेदन से उपयोगकर्ताओं को केवल उसी जानकारी तक पहुंच प्राप्त करने की अनुमति मिलेगी जिसके लिए उनके पास उचित अधिकार हैं;
• 1C कॉन्फिगरेटर को केवल उन्हीं कर्मचारियों को लॉन्च करने की अनुमति देना आवश्यक है जिन्हें इसकी आवश्यकता है।

2. DBMS 1C डेटाबेस के साथ काम करते समयकृपया निम्नलिखित अनुशंसाओं पर ध्यान दें:

• डीबीएमएस से जुड़ने के क्रेडेंशियल में प्रशासनिक अधिकार नहीं होने चाहिए;
• डीबीएमएस डेटाबेस तक पहुंच अधिकारों को अलग करना आवश्यक है, उदाहरण के लिए, प्रत्येक सूचना आधार के लिए अपना स्वयं का खाता बनाएं, जो किसी एक खाते के हैक होने पर डेटा हानि को कम करेगा;
• एंटरप्राइज़ डेटाबेस और 1C सर्वर तक भौतिक और दूरस्थ पहुंच को सीमित करने की अनुशंसा की जाती है;
• डेटाबेस के लिए एन्क्रिप्शन का उपयोग करने की अनुशंसा की जाती है; यह गोपनीय डेटा को बचाएगा, भले ही कोई हमलावर डीबीएमएस फ़ाइलों तक भौतिक पहुंच प्राप्त कर ले;
• इसके अलावा, महत्वपूर्ण निर्णयों में से एक डेटा बैकअप के लिए एन्क्रिप्ट करना या पासवर्ड सेट करना है;
• 1सी क्लस्टर के साथ-साथ 1सी सर्वर के लिए प्रशासक बनाना अनिवार्य है, क्योंकि डिफ़ॉल्ट रूप से, यदि कोई उपयोगकर्ता नहीं बनाया जाता है, तो सिस्टम के सभी उपयोगकर्ताओं के पास सूचना आधारों तक पूर्ण पहुंच होती है।

3. सर्वर उपकरण की भौतिक सुरक्षा सुनिश्चित करने के लिए आवश्यकताएँ:
(गोस्ट आर आईएसओ/आईईसी टीओ-13335 के अनुसार)

• उन क्षेत्रों तक पहुंच जहां संवेदनशील जानकारी संसाधित या संग्रहीत की जाती है, नियंत्रित की जानी चाहिए और केवल अधिकृत व्यक्तियों तक ही सीमित होनी चाहिए;
• प्रमाणीकरण नियंत्रण, जैसे एक्सेस कंट्रोल कार्ड और व्यक्तिगत पहचान संख्या , किसी भी पहुंच को अधिकृत और पुष्टि करने के लिए उपयोग किया जाना चाहिए;
• सभी पहुंच का ऑडिट ट्रेल एक सुरक्षित स्थान पर रखा जाना चाहिए;
• तीसरे पक्ष की सहायता सेवाओं के कर्मियों को सुरक्षा क्षेत्रों या प्रसंस्करण सुविधाओं तक सीमित पहुंच दी जानी चाहिए महत्वपूर्ण सूचनाकेवल जब आवश्यक हो;
• इस पहुंच को हर समय अधिकृत और मॉनिटर किया जाना चाहिए;
• सुरक्षा क्षेत्रों तक पहुंच अधिकारों की नियमित रूप से समीक्षा और अद्यतन किया जाना चाहिए, और यदि आवश्यक हो तो रद्द कर दिया जाना चाहिए;
• प्रासंगिक सुरक्षा और स्वास्थ्य नियमों और मानकों को ध्यान में रखा जाना चाहिए;
• मुख्य सुविधाएं इस प्रकार अवस्थित की जानी चाहिए कि आम जनता की उन तक पहुंच को रोका जा सके;
• जहां लागू हो, इमारतें और कमरे सादे होने चाहिए और अपने उद्देश्य का न्यूनतम संकेत देना चाहिए, इमारत के बाहर या अंदर कोई प्रमुख संकेत नहीं होना चाहिए, जो सूचना प्रसंस्करण गतिविधियों की उपस्थिति का संकेत दे;
• संवेदनशील सूचना प्रसंस्करण सुविधाओं के स्थान बताने वाले संकेत और आंतरिक टेलीफोन पुस्तकें आम जनता के लिए आसानी से उपलब्ध नहीं होनी चाहिए।

4. व्यक्तिगत डेटा की गोपनीयता.व्यक्तिगत डेटा की सुरक्षा को व्यवस्थित करने का मुख्य लक्ष्य परिभाषित सूचना प्रणाली में मौजूदा खतरों को बेअसर करना है 27 जुलाई 2006 का संघीय कानून संख्या 152-एफजेड "व्यक्तिगत डेटा पर" , राज्य मानकों और अंतर्राष्ट्रीय आईटी सुरक्षा प्रमाणपत्रों की आवश्यकताओं की एक सूची (गोस्ट आर आईएसओ/आईईसी 13335 2-5, आईएसओ 27001) . यह सूचना तक उसके प्रकारों के आधार पर पहुंच को सीमित करके, उपयोगकर्ता की भूमिकाओं के आधार पर सूचना तक पहुंच को सीमित करके, सूचना के प्रसंस्करण और भंडारण की प्रक्रिया को संरचित करके प्राप्त किया जाता है।
यहां कुछ प्रमुख बिंदु दिए गए हैं:

• व्यक्तिगत डेटा का प्रसंस्करण विशिष्ट, पूर्व-परिभाषित और वैध उद्देश्यों की प्राप्ति तक सीमित होना चाहिए;
• व्यक्तिगत डेटा के प्रसंस्करण के लिए सहमति विशिष्ट, सूचित और सचेत होनी चाहिए;
• व्यक्तिगत डेटा के प्रसंस्करण की अनुमति नहीं है जो व्यक्तिगत डेटा एकत्र करने के उद्देश्यों से असंगत है;
• केवल व्यक्तिगत डेटा जो उनके प्रसंस्करण के उद्देश्यों को पूरा करता है, प्रसंस्करण के अधीन है;
• ऑपरेटर और अन्य व्यक्ति जिनके पास व्यक्तिगत डेटा तक पहुंच है, वे व्यक्तिगत डेटा के विषय की सहमति के बिना तीसरे पक्ष को खुलासा नहीं करने या व्यक्तिगत डेटा वितरित नहीं करने के लिए बाध्य हैं, जब तक कि संघीय कानून द्वारा अन्यथा प्रदान न किया गया हो;
• फोटोग्राफिक, वीडियो, ऑडियो या अन्य रिकॉर्डिंग उपकरण जैसे मोबाइल उपकरणों पर कैमरे की अनुमति तब तक नहीं दी जानी चाहिए जब तक कि अधिकृत न किया गया हो;
• हटाने योग्य मीडिया वाली ड्राइव को केवल तभी अनुमति दी जानी चाहिए जब इसकी व्यावसायिक आवश्यकता हो;
• यह सुनिश्चित करने के लिए कि गोपनीय जानकारी के साथ छेड़छाड़ न हो, कागज और इलेक्ट्रॉनिक मीडिया को उपयोग में न होने पर, विशेष रूप से गैर-कार्य घंटों के दौरान, उचित रूप से बंद अलमारियों और/या अन्य सुरक्षित फर्नीचर में संग्रहित किया जाना चाहिए;
• महत्वपूर्ण या संवेदनशील मालिकाना जानकारी वाले मीडिया को दूर रखा जाना चाहिए और आवश्यकता न होने पर लॉक कर दिया जाना चाहिए (उदाहरण के लिए, अग्निरोधक तिजोरी या कैबिनेट में), खासकर जब क्षेत्र खाली हो।

5. नेटवर्क सुरक्षा- यह किसी उद्यम के कंप्यूटर नेटवर्क के बुनियादी ढांचे और उसमें काम करने की नीतियों के लिए आवश्यकताओं का एक सेट है, जिसका कार्यान्वयन अनधिकृत पहुंच से नेटवर्क संसाधनों की सुरक्षा सुनिश्चित करता है। नेटवर्क सुरक्षा को व्यवस्थित करने और सुनिश्चित करने के लिए अनुशंसित कार्यों के हिस्से के रूप में, बुनियादी बातों के अलावा, आप निम्नलिखित सुविधाओं पर विचार कर सकते हैं:

• सबसे पहले, कंपनी को उचित निर्देशों के साथ एक एकीकृत सूचना सुरक्षा विनियमन लागू करना होगा;
• उपयोगकर्ताओं को यथासंभव फ़ाइल होस्टिंग सेवाओं सहित अवांछित साइटों तक पहुंच से वंचित किया जाना चाहिए;
• केवल वे पोर्ट जो उपयोगकर्ताओं के सही संचालन के लिए आवश्यक हैं, बाहरी नेटवर्क से खुले होने चाहिए;
• उपयोगकर्ता के कार्यों की व्यापक निगरानी और सभी सार्वजनिक रूप से उपलब्ध संसाधनों की सामान्य स्थिति के उल्लंघन की त्वरित अधिसूचना के लिए एक प्रणाली होनी चाहिए, जिसका संचालन कंपनी के लिए महत्वपूर्ण है;
• एक केंद्रीकृत एंटी-वायरस सिस्टम और सफाई और विलोपन नीतियों की उपलब्धता मैलवेयर;
• एंटी-वायरस सॉफ़्टवेयर के प्रबंधन और अद्यतन के लिए एक केंद्रीकृत प्रणाली की उपलब्धता, साथ ही नियमित ओएस अपडेट के लिए नीतियां;
• हटाने योग्य फ़्लैश मीडिया चलाने की क्षमता यथासंभव सीमित होनी चाहिए;
• पासवर्ड कम से कम 8 अक्षर लंबा होना चाहिए, इसमें संख्याएं और बड़े और छोटे अक्षर शामिल होने चाहिए;
• मुख्य सूचना विनिमय फ़ोल्डरों की सुरक्षा और एन्क्रिप्शन होना चाहिए, विशेष रूप से 1सी एक्सचेंज फ़ाइलों और क्लाइंट-बैंक सिस्टम में;
• सूचना प्रसंस्करण सुविधाओं में शामिल बिजली और लंबी दूरी की संचार लाइनें जहां संभव हो भूमिगत होनी चाहिए या पर्याप्त वैकल्पिक सुरक्षा के अधीन होनी चाहिए;
• नेटवर्क केबलों को अनधिकृत अवरोधन या क्षति से बचाया जाना चाहिए, उदाहरण के लिए एक नाली का उपयोग करके या सार्वजनिक रूप से सुलभ क्षेत्रों से गुजरने वाले मार्गों से बचकर।

उपरोक्त सभी को सारांशित करते हुए, मैं यह नोट करना चाहूंगा कि सूचना की सुरक्षा के लिए मुख्य नियम उपयोगकर्ताओं के अधिकारों और क्षमताओं को सीमित करना है, साथ ही सूचना प्रणालियों का उपयोग करते समय उन पर नियंत्रण भी है। किसी सूचना प्रणाली के साथ काम करते समय उपयोगकर्ता के पास जितने कम अधिकार होंगे, दुर्भावनापूर्ण इरादे या लापरवाही के कारण सूचना के लीक होने या क्षति की संभावना उतनी ही कम होगी।

1C डेटाबेस सहित एंटरप्राइज़ डेटा की सुरक्षा के लिए एक व्यापक समाधान, "इज़राइल में सर्वर" समाधान है, जिसमें उच्च स्तर की सूचना गोपनीयता सुनिश्चित करने के लिए नवीनतम उपकरण शामिल हैं।

सिस्टम एकीकरण. CONSULTING

सूचना आधार प्रबंधन (आईएस)

मुझे यह लेख तीन परिस्थितियों के कारण लिखने के लिए मजबूर होना पड़ा: परिचित लेखाकारों के साथ संचार, मुख्य लेखाकार का एक लेख, उपाख्यानों का संग्रह।

मेरा एक मित्र मुख्य लेखाकार के रूप में काम करता है और 1सी में पारंगत है। लेकिन हाल ही में वह एक नए संगठन में चली गई जहां कोई सूचना प्रौद्योगिकी (आईटी) विशेषज्ञ नहीं है और मुझसे सवाल पूछने लगी जैसे "मैं घर पर एक कार्यक्रम में काम करना चाहती हूं, मैं इसे अपने घरेलू कंप्यूटर पर कैसे स्थानांतरित कर सकती हूं?"

पेशेवर लेखाकारों के साथ संवाद करते हुए, मुझे एहसास हुआ कि उनके पास पेशेवर रूप से कोई प्रश्न नहीं हैं। सूचना आधार प्रबंधन के क्षेत्र में प्रश्न उठते हैं।

दूसरे, मुझे हाल ही में प्रकाशित लेख "एक अकाउंटेंट को इन्फोस्टार्ट की आवश्यकता क्यों है?" याद है। . लेखक अल्ला (बक्स 2)।

तीसरी परिस्थिति नए चुटकुलों से दूर का एक संग्रह है "1सी प्रोग्रामर के साथ संवाद करने पर एकाउंटेंट के लिए निर्देश". वास्तव में, इन कहानियों को बड़े पैमाने पर उपाख्यान कहा जा सकता है; ये लेखांकन से जुड़े प्रत्येक आईटी विशेषज्ञ की वास्तविक कहानियाँ हैं।

यदि आप इन उपाख्यानों का सावधानीपूर्वक विश्लेषण करते हैं, तो आप अनजाने में इस निष्कर्ष पर पहुंचते हैं कि संघर्ष जिम्मेदारी के सीमा क्षेत्र में होता है, जो कि एप्लिकेशन उपयोगकर्ता या आईटी विशेषज्ञ को नहीं सौंपा गया है।

वर्तमान में, इन्फोस्टार्ट वेबसाइट पर 80,000 से अधिक उपयोगकर्ता पंजीकृत हैं। यह संभावना नहीं है कि ये सभी 1C प्रोग्रामर हैं; सबसे अधिक संभावना है कि ये "उन्नत" उपयोगकर्ता हैं जिन्हें 1C सिस्टम चलाने में समस्या हुई है।

मुझे ऐसा लगता है कि सभी साइट उपयोगकर्ताओं को तीन मुख्य श्रेणियों में विभाजित किया जा सकता है:

• 1सी प्रोग्रामर जो रैंकिंग प्रतियोगिताओं में आत्ममुग्धतापूर्वक शामिल होते हैं
• "उन्नत" उपयोगकर्ता जो 1C के साथ काम करने के लिए अधिक उन्नत टूल की तलाश में हैं
• शुरुआती लोग जिन्हें 1C चलाने में समस्याओं का सामना करना पड़ा है और वे "क्या करें?" प्रश्न का उत्तर ढूंढ रहे हैं।

यह आलेख उपयोगकर्ताओं की अंतिम दो श्रेणियों के लिए है। यहां मैं 1सी सूचना आधारों के प्रबंधन पर चर्चा करना चाहूंगा। चर्चा विवादास्पद है और पूरी तरह से व्यक्तिगत अनुभव पर आधारित है।

यदि आप सबसे अधिक "रेटेड" लेखों का विश्लेषण करते हैं, तो आप उन पर काफी सरल लेख देख सकते हैं सामान्य मुद्देसूचना सुरक्षा प्रबंधन. ये प्रश्न आईटी विशेषज्ञों के लिए समझ में आते हैं, लेकिन 1सी एप्लिकेशन उपयोगकर्ताओं के लिए ये लगभग एक रहस्योद्घाटन हैं।

यह विशेष रूप से छोटी कंपनियों के लिए सच है जो 1सी प्रोग्रामर या यहां तक ​​कि सिर्फ एक आईटी विशेषज्ञ को नियुक्त करने में सक्षम नहीं हैं। ऐसे में सारी परेशानी यूजर्स पर आती है.

अक्सर, ऐसा उद्यम "लेखा" और "वेतन" कॉन्फ़िगरेशन का उपयोग करता है। यह इस तथ्य के कारण है कि 1C अपने कॉन्फ़िगरेशन में कानून में बदलाव को तुरंत प्रतिबिंबित करता है। उद्यमों के लिए यह राजकोषीय रिपोर्टिंग के दृष्टिकोण से महत्वपूर्ण है।

विशिष्ट लघु व्यवसाय. 1सी उपयोगकर्ता: निदेशक; लेखाकार, मुखिया भी; सचिव, जो ओके का प्रमुख भी है; कई प्रबंधक (किसी कारण से इसे बिक्री विशेषज्ञ कहा जाता है)।

प्रत्येक उपयोगकर्ता सूचना सुरक्षा के अपने हिस्से का "प्रबंधन" करता है, लेकिन संपूर्ण डेटाबेस के लिए कोई भी जिम्मेदार नहीं है। और जब समस्या आती है तो कोई पूछने वाला नहीं होता. रायकिन की तरह, “मैंने व्यक्तिगत रूप से बटनों पर सिलाई की। क्या आपके पास बटनों के बारे में कोई प्रश्न हैं? नहीं, उन्हें मौत के घाट उतार दिया गया है, आप उन्हें फाड़ नहीं सकते!" लेकिन सामान्य तौर पर, मुकदमे के लिए कोई भी ज़िम्मेदार नहीं है।

सिस्टम के सामान्य संचालन के लिए, किसी को सामान्य सूचना सुरक्षा नियंत्रण के कार्यों को अपने हाथ में लेना होगा। उदाहरण के लिए, ऐसे कार्यों में निर्देशिकाओं से डुप्लिकेट हटाना शामिल है। एक ओर, यह एक अनुप्रयोग क्षेत्र है, दूसरी ओर, यह एक आईटी विशेषज्ञ द्वारा किया जाना चाहिए। ये कार्य "सीमा रेखा" क्षेत्र में हैं; आईटी विशेषज्ञ (यदि कोई हो) और 1C उपयोगकर्ता दोनों उन्हें निष्पादित करने से इनकार करते हैं।

यह मुद्दा न केवल छोटे व्यवसायों के लिए प्रासंगिक है। हाल ही में मैं नौकरी विवरण अपडेट कर रहा था और बड़ी कठिनाई से कर्मचारियों के बीच समान कार्यों को वितरित करने में सक्षम था। और अब नौकरी विवरण के प्रति दृष्टिकोण बहुत गंभीर है, क्योंकि... वे बर्खास्तगी सहित विभिन्न प्रशासनिक दंडों का आधार हैं।

सिस्टम प्रशासक ने गुस्से में प्रस्ताव को अस्वीकार कर दिया, 1सी प्रोग्रामर ने गर्व से घोषणा की कि वह "कोडिंग" कर रहा था और उपयोगकर्ताओं का कचरा साफ नहीं कर रहा था। संक्षेप में, एक नियमित उद्यम में कोई विशेषज्ञ नहीं होता जो सूचना सुरक्षा में सूचना की अखंडता के लिए जिम्मेदार हो। इस पद को सशर्त रूप से परिभाषित करना कठिन है, इसे "सूचना सुरक्षा प्रबंधक" जैसा कुछ कहा जा सकता है;

ये कार्य व्यवस्थापक के कार्यों से भिन्न हैं. 1सी कंपनी प्रशासन कार्यों की निम्नलिखित परिभाषा देती है:

• सिस्टम स्थापना और अद्यतन
• उपयोगकर्ताओं की सूची बनाए रखना
• भूमिका तंत्र के आधार पर पहुंच अधिकारों को कॉन्फ़िगर करना
• उपयोगकर्ता क्रियाओं और सिस्टम घटनाओं की निगरानी करना
• बैकअप
• सूचना आधार का परीक्षण एवं सुधार करना
• क्षेत्रीय सेटिंग सेट करना
• कॉन्फ़िगरेशन अद्यतन किया जा रहा है
• किसी सूचना डेटाबेस को किसी फ़ाइल में लोड और अनलोड करना
• लॉग बुक को बनाए रखना और स्थापित करना

वास्तव में, 1C दस्तावेज़ "कॉन्फ़िगरेशन और प्रशासन" में अध्याय "प्रशासन" इसी के लिए समर्पित है।

वास्तव में, ये प्रशासन कार्य डेटाबेस को सुचारू रूप से चलाने के लिए पर्याप्त नहीं हैं। डेटाबेस की "सही" कार्यप्रणाली के लिए व्यापक और अधिक विविध कार्रवाइयों की आवश्यकता होती है। "डेटाबेस प्रबंधन" "प्रशासन" की अवधारणा से कहीं अधिक व्यापक है।

बड़े उद्यमों में, इन सूचना सुरक्षा प्रबंधन कार्यों को एक पूर्णकालिक विशेषज्ञ को सौंपा जाना चाहिए। छोटे उद्यमों में, ये कार्य मुख्य लेखाकार पर पड़ने की सबसे अधिक संभावना है, क्योंकि उसके पास जानकारी पर अधिक पूर्ण नियंत्रण होता है, उसे दस्तावेजों के इनपुट और अनुक्रम, डेटा अपलोड और डाउनलोड आदि को नियंत्रित करना होता है।

सामान्य तौर पर, सूचना सुरक्षा प्रबंधन के कार्य यह सुनिश्चित करने के लिए आते हैं कि सूचना सुरक्षा "सही" है। डेटाबेस की "शुद्धता" के साथ समस्याएं हमेशा मौजूद रही हैं।

मेरी समझ में, किसी भी कॉन्फ़िगरेशन में "सही" 1C सूचना डेटाबेस को कम से कम निम्नलिखित सिद्धांतों को पूरा करना चाहिए:

• इसमें हटाने के लिए चिह्नित वस्तुएं नहीं होनी चाहिए। सभी चिह्नित ऑब्जेक्ट हटा दिए जाने चाहिए
• डेटाबेस में कोई भी अपोस्टेड दस्तावेज़ नहीं होना चाहिए
• किसी भी अवधि के लिए दस्तावेज़ों को दोबारा पोस्ट करते समय, परिणाम नहीं बदलना चाहिए

डेटाबेस प्रबंधन को इन परिणामों की ओर ले जाना चाहिए। डेटाबेस के साथ निर्बाध कार्य के लिए, मानक 1C कॉन्फ़िगरेशन (ZUP के उदाहरण का उपयोग करके) में निम्नलिखित क्रियाएं करना आवश्यक है:

• 1. बैकअप
     • सभी डेटाबेस की प्रतियां प्रत्येक दिन के अंत में प्रतिदिन बनाई जानी चाहिए। इस मामले में, आप पिछले दिन की प्रतियों को "ओवरराइट" कर सकते हैं;
     • अद्यतन करने से पहले डेटाबेस की प्रतियां आवश्यक हैं। इन प्रतियों को विशिष्ट नामों से सहेजने की सलाह दी जाती है।
     • महीने के अंत के बाद डेटाबेस की प्रतियां, अद्वितीय नामों के तहत भी सहेजना अनिवार्य है।

साइट पर बैकअप के लिए समर्पित कई लेख और उपचार हैं।

• 1. डुप्लिकेट के लिए साप्ताहिक रूप से संदर्भ पुस्तकें जांचें। यदि डुप्लिकेट होते हैं, तो उन्हें हटा दें। डुप्लिकेट कैसे हटाएं
  2. हटाने के लिए चिह्नित वस्तुओं को साप्ताहिक हटाएँ। यदि ऑब्जेक्ट हटाए नहीं गए हैं, तो इसका मतलब है कि इन ऑब्जेक्ट के संदर्भ मौजूद हैं। यह पता लगाना जरूरी है कि इन्हें हटाने के लिए किसने और क्यों चिह्नित किया। यदि आवश्यक हो, तो इन वस्तुओं को पुनर्स्थापित किया जाना चाहिए। सार्वभौमिक उपचारों का उपयोग करके निष्कासन किया जा सकता है//साइट/ब्लॉग/1313/ विनियामक रिपोर्टिंग से पहले - तकनीकी नियंत्रण
  3. एक्सप्रेस डेटाबेस विश्लेषण//साइट/सार्वजनिक/21332/
  4. माह समाप्त होने के बाद माह के अंत में, डेटा तक पहुंच से इनकार करें

शायद आप अपने अनुभव से कुछ सिफ़ारिश कर सकें?

उद्यमों, संस्थानों और संगठनों के लिए, उनके स्वामित्व के प्रकार की परवाह किए बिना, मुख्य मुद्दा लेखांकन जानकारी और रिपोर्टिंग सहित सूचना संसाधनों की सुरक्षा सुनिश्चित करना है। कार्यक्रम "1सी: सार्वजनिक संस्थान लेखांकन 8" संस्करण 2 आधुनिक सूचना सुरक्षा आवश्यकताओं को पूरा करता है। 1सी विशेषज्ञ लेख में सूचना सुरक्षा कार्यक्रम की क्षमताओं के बारे में बात करते हैं।

सूचना संसाधनों की सुरक्षा सुनिश्चित करने की प्रासंगिकता

किसी संगठन, संस्थान, उद्यम की सूचना सुरक्षा सुनिश्चित करने के लिए ऐसी स्थितियाँ बनाई जानी चाहिए जिसके तहत संगठन के कर्मचारियों या बाहरी व्यक्तियों द्वारा लेखांकन और वित्तीय जानकारी सहित संगठन की स्थिति के बारे में किसी भी जानकारी का उपयोग, हानि या विरूपण किया जाए ( उच्च स्तर की संभावना वाले उपयोगकर्ता) निकट भविष्य में संगठन की गतिविधियों को बाधित करने के खतरों के उद्भव का कारण नहीं बनेंगे।

राज्य स्तर पर सूचना सुरक्षा समस्याओं की प्रासंगिकता की पुष्टि रूसी संघ में सूचना सुरक्षा सिद्धांत को अपनाने से होती है (9 सितंबर, 2000 नंबर पीआर-1895 को रूसी संघ के राष्ट्रपति द्वारा अनुमोदित)। सूचना क्षेत्र में रूसी संघ के राष्ट्रीय हितों के घटकों में से एक अनधिकृत पहुंच से सूचना संसाधनों की सुरक्षा है, सूचना और दूरसंचार प्रणालियों की सुरक्षा सुनिश्चित करना, दोनों पहले से ही तैनात हैं और जो रूस में बनाई जा रही हैं।

आर्थिक क्षेत्र में रूसी संघ की सूचना सुरक्षा सुनिश्चित करना रूसी संघ की राष्ट्रीय सुरक्षा सुनिश्चित करने में महत्वपूर्ण भूमिका निभाता है। आर्थिक क्षेत्र में रूसी संघ की सूचना सुरक्षा पर खतरों के प्रभाव के प्रति निम्नलिखित सबसे अधिक संवेदनशील हैं:

• राज्य सांख्यिकी प्रणाली;
• ऋण और वित्तीय प्रणाली;
• संघीय कार्यकारी अधिकारियों के प्रभागों की सूचना और लेखांकन स्वचालित प्रणाली जो आर्थिक क्षेत्र में समाज और राज्य की गतिविधियों को सुनिश्चित करती है;
• उद्यमों, संस्थानों और संगठनों के लिए लेखांकन प्रणाली, उनके स्वामित्व के प्रकार की परवाह किए बिना;
• राज्य की विदेशी आर्थिक गतिविधियों के साथ-साथ उद्यमों, संस्थानों और संगठनों पर वित्तीय, स्टॉक एक्सचेंज, कर, सीमा शुल्क जानकारी और जानकारी एकत्र करने, प्रसंस्करण, भंडारण और संचारित करने की प्रणाली, स्वामित्व के रूप की परवाह किए बिना।

किसी उद्यम, संस्था, संगठन से संबंधित सूचना सुरक्षा को खतरा लेखांकनऔर रिपोर्टिंग खतरे हैं:

• लेखांकन जानकारी और रिपोर्टिंग की अखंडता;
• लेखांकन जानकारी और रिपोर्टिंग की गोपनीयता का उल्लंघन;
• लेखांकन जानकारी और रिपोर्टिंग की पहुंच (अवरुद्ध) का उल्लंघन;
• लेखांकन जानकारी और रिपोर्टिंग की विश्वसनीयता;
• कर्मियों और अन्य व्यक्तियों के कार्यों के कारण लेखांकन जानकारी और रिपोर्टिंग की सामग्री;
• खराब गुणवत्ता वाली लेखांकन जानकारी और रिपोर्टिंग के उपयोग के कारण।

"1सी: सार्वजनिक संस्थान लेखा 8" में सूचना सुरक्षा

कार्यक्रम "1सी: सार्वजनिक संस्थान लेखांकन 8" संस्करण 2 (इसके बाद कार्यक्रम के रूप में संदर्भित) आधुनिक सूचना सुरक्षा आवश्यकताओं को पूरा करता है। कार्यक्रम में संग्रहीत जानकारी तक अनधिकृत पहुंच के विरुद्ध सुरक्षा के स्तर को बढ़ाने के लिए, निम्नलिखित सुविधाएँ प्रदान की गई हैं:

• प्रमाणीकरण;

आइए कार्यक्रम की इन विशेषताओं पर करीब से नज़र डालें।

प्रमाणीकरण

प्रमाणीकरण तंत्र प्रशासन उपकरणों में से एक है। यह आपको यह निर्धारित करने की अनुमति देता है कि सिस्टम उपयोगकर्ताओं की सूची में सूचीबद्ध कौन से उपयोगकर्ता प्रोग्राम से जुड़ते हैं इस समय, और कार्यक्रम में अनधिकृत पहुंच को रोकें।

"1सी: पब्लिक इंस्टीट्यूशन अकाउंटिंग 8" संस्करण 2 में, तीन प्रकार के प्रमाणीकरण समर्थित हैं, जिनका उपयोग सूचना आधार प्रशासक के सामने आने वाले विशिष्ट कार्यों के आधार पर किया जा सकता है:

• प्रमाणीकरण 1C:उद्यम- प्रोग्राम में बनाए गए उपयोगकर्ता और पासवर्ड का उपयोग करके प्रमाणीकरण;
• ऑपरेटिंग सिस्टम प्रमाणीकरण- प्रोग्राम में उपयोगकर्ता के लिए ऑपरेटिंग सिस्टम उपयोगकर्ताओं में से एक का चयन किया जाता है। प्रोग्राम विश्लेषण करता है कि किस ऑपरेटिंग सिस्टम उपयोगकर्ता की ओर से प्रोग्राम से कनेक्शन बनाया गया है, और इसके आधार पर प्रोग्राम के संबंधित उपयोगकर्ता का निर्धारण करता है;
• ओपनआईडी प्रमाणीकरण- उपयोगकर्ता प्रमाणीकरण एक बाहरी ओपनआईडी प्रदाता द्वारा किया जाता है जो उपयोगकर्ताओं की सूची संग्रहीत करता है।

यदि किसी उपयोगकर्ता के लिए किसी प्रकार का प्रमाणीकरण निर्दिष्ट नहीं किया गया है, तो ऐसे उपयोगकर्ता की प्रोग्राम तक पहुंच अस्वीकार कर दी जाती है।

यदि उपयोगकर्ता के लिए प्रोग्राम में पासवर्ड के साथ प्रवेश करना आवश्यक है जिसे जांचा जाएगा, तो ध्वज को सक्षम किया जाना चाहिए प्रमाणीकरण 1सी:उद्यम(चित्र 1 देखें)। यह ध्वज के साथ डिफ़ॉल्ट रूप से सक्षम है प्रोग्राम में लॉगिन की अनुमति है.

1सी:एंटरप्राइज़ प्रमाणीकरण स्थिति ध्वज के नीचे प्रदर्शित होती है।

चावल। 1

जब कोई नया उपयोगकर्ता बनाया जाता है, तो प्रोग्राम स्वचालित रूप से उसे एक खाली पासवर्ड निर्दिष्ट करता है। इसे बदलने के लिए कमांड का उपयोग करें सांकेतिक शब्द लगनाउपयोगकर्ता कार्ड में (चित्र 1 देखें)।

आकार में पासवर्ड सेट करनादर्ज करना होगा नया पासवर्डप्रोग्राम में प्रवेश करने के लिए, इसे फ़ील्ड में फिर से लिखें पुष्टीकरण.

एक अच्छा पासवर्ड कम से कम आठ अक्षर लंबा होना चाहिए, जिसमें अपरकेस और लोअरकेस लैटिन अक्षर, संख्याएं, प्रतीक (अंडरस्कोर, कोष्ठक, आदि) शामिल हों और अस्पष्ट हों। पासवर्ड का उपयोगकर्ता नाम से मेल खाना, पूरी तरह से संख्याओं से युक्त होना या शामिल होना अवांछनीय है समझने योग्य शब्द, वर्णों के वैकल्पिक समूह। अच्छे पासवर्ड के उदाहरण: "nj7(jhjibq*Gfhjkm, F5"njnGhkmNj;t(HI। खराब पासवर्ड के उदाहरण: इवानोव, क्वर्टी, 12345678, 123123123। अधिक जानकारी के लिए, दस्तावेज़ "1C:एंटरप्राइज़ 8.3. एडमिनिस्ट्रेटर गाइड" देखें।

कार्यक्रम अवसर प्रदान करता है स्वचालित पासवर्ड जटिलता जाँच.

डिफ़ॉल्ट रूप से, सुरक्षा कारणों से, पासवर्ड दर्ज करने पर नहीं दिखाया जाता है। यह देखने के लिए कि कौन से अक्षर दर्ज किए जा रहे हैं, आपको ध्वज को सक्षम करना चाहिए नया पासवर्ड दिखाएँ.

स्वचालित रूप से पासवर्ड जनरेट करने के लिए, आप बटन का उपयोग कर सकते हैं एक पासवर्ड बनाएं. पासवर्ड प्रोग्राम द्वारा जनरेट किया जाएगा.

अपना पासवर्ड सेव करने के लिए बटन पर क्लिक करें सांकेतिक शब्द लगना.

इसके बाद, 1C:एंटरप्राइज़ प्रमाणीकरण स्थिति बदल जाती है पासवर्ड सेट. उपयोगकर्ता कार्ड में, बटन अपना मान बदल देता है पासवर्ड बदलें.

प्रशासन और सुरक्षा में आसानी के लिए, सभी उपयोगकर्ताओं के पास एक ध्वज होता है , जो उपयोगकर्ता को व्यवस्थापक द्वारा निर्धारित पासवर्ड को अपने पासवर्ड में बदलने के लिए आवश्यक है। जब यह फ़्लैग सक्षम हो जाएगा, तो उपयोगकर्ता को अपना पासवर्ड दर्ज करना होगा, जिसे किसी और को पता नहीं चलेगा।

अगर झंडा लॉगिन करने पर पासवर्ड बदलने की आवश्यकता हैसक्षम नहीं है, और पहले से सेट पासवर्ड किसी कारण से आपके अनुरूप नहीं है, आप इसे उपयोगकर्ता कार्ड में किसी भी समय बदल सकते हैं।

सक्षम ध्वज उपयोगकर्ता को पासवर्ड बदलने से प्रतिबंधित किया गया हैऐसे उपयोगकर्ता को, जिसके पास पूर्ण अधिकार नहीं है, स्वतंत्र रूप से पासवर्ड सेट करने और बदलने से प्रतिबंधित करता है।

विवरण लॉगिन करने पर पासवर्ड बदलने की आवश्यकता हैऔर वैधता अवधिउपयोगकर्ता कार्ड और रिपोर्ट में देखा जा सकता है यूजर जानकारी (बाहरी उपयोगकर्ताओं के बारे में जानकारी).

प्रोग्राम लॉगिन सेटिंग्स

आकार में लॉगिन सेटिंग्स(अध्याय प्रशासन, नेविगेशन बार कमांड उपयोगकर्ता और अधिकार सेटिंग) प्रोग्राम के आंतरिक और बाहरी उपयोगकर्ताओं के लिए अलग-अलग आप निम्नलिखित पैरामीटर कॉन्फ़िगर कर सकते हैं:

• पासवर्ड जटिलता सेट करना और नियंत्रित करना;
• पासवर्ड को शेड्यूल पर या मैन्युअल रूप से बदलने की आवश्यकता। पासवर्ड परिवर्तन - समय-समय पर या अनुरोध पर;
• पासवर्ड दोहराव सेट करना और नियंत्रित करना;
• खातों की वैधता अवधि सीमित करना।

चित्र 2 आंतरिक उपयोगकर्ताओं के लिए सेटअप दिखाता है।

चावल। 2

बाहरी उपयोगकर्ताओं के लिए एक समान सेटिंग प्रदान की गई है।

पासवर्ड जटिलता नियंत्रण

जब झंडा स्थापित किया जाता है पासवर्ड को जटिलता आवश्यकताओं को पूरा करना होगाप्रोग्राम जाँचता है कि नया पासवर्ड:

• कम से कम 7 अक्षर थे,
• इसमें 4 में से कोई 3 प्रकार के अक्षर शामिल हैं: अपरकेस अक्षर, लोअरकेस अक्षर, संख्याएं, विशेष अक्षर,
• नाम से मेल नहीं खाता (लॉगिन के लिए)।

न्यूनतम पासवर्ड लंबाई को उसी नाम के फ़ील्ड के बगल में स्थित बॉक्स को चेक करके और आवश्यक पासवर्ड लंबाई निर्दिष्ट करके बदला जा सकता है (चित्र 3)।

चावल। 3

पासवर्ड बदलें

पासवर्ड बदलने के लिए दो सेटिंग्स हैं: आवधिक या व्यवस्थापक के अनुरोध पर।

पासवर्ड को समय-समय पर बदलने के लिए, आपको सेटिंग्स का उपयोग करके पासवर्ड की समाप्ति तिथि को सीमित करना होगा न्यूनतम पासवर्ड वैधताऔर अधिकतम पासवर्ड वैधता. निर्दिष्ट अवधि समाप्त होने के बाद, प्रोग्राम उपयोगकर्ता को पासवर्ड बदलने के लिए संकेत देगा।

अधिकतम पासवर्ड वैधता अवधि नए पासवर्ड के साथ पहली बार लॉगिन करने के बाद की अवधि है, जिसके बाद उपयोगकर्ता को पासवर्ड बदलने की आवश्यकता होगी, डिफ़ॉल्ट रूप से 30 दिन।

न्यूनतम पासवर्ड वैधता अवधि नए पासवर्ड के साथ पहली बार लॉगिन करने के बाद की अवधि है, जिसके दौरान उपयोगकर्ता पासवर्ड नहीं बदल सकता है, डिफ़ॉल्ट रूप से 1 दिन।

अनुरोध पर पासवर्ड बदलने के लिए, व्यवस्थापक को ध्वज सेट करना होगा लॉगिन करने पर पासवर्ड की आवश्यकता होगीउपयोगकर्ता कार्ड में. जब आप पहली बार प्रोग्राम में प्रवेश करते हैं, तो आपको व्यवस्थापक द्वारा निर्धारित पासवर्ड को अपने पासवर्ड में बदलना होगा।

पुनरावृत्ति नियंत्रण

उपयोगकर्ताओं को डुप्लिकेट पासवर्ड बनाने से रोकने के लिए, आपको सेटिंग सक्षम करनी होगी हाल के पासवर्डों के बीच दोहराव को रोकेंऔर हाल के पासवर्ड की संख्या निर्धारित करें जिसके साथ नए पासवर्ड की तुलना की जाएगी।

उपयोगकर्ता लॉगिन प्रतिबंध

कार्यक्रम में अनधिकृत पहुंच से बचाने के लिए, आप उन उपयोगकर्ताओं के लिए प्रतिबंध निर्धारित कर सकते हैं जो एक निश्चित अवधि के लिए कार्यक्रम में काम नहीं करते हैं, उदाहरण के लिए, 45 दिन।

निर्दिष्ट अवधि समाप्त होने के बाद, प्रोग्राम उपयोगकर्ता को प्रोग्राम में प्रवेश करने की अनुमति नहीं देगा। प्रोग्राम में लॉगिन अस्वीकार किए जाने के 25 मिनट से अधिक समय बाद खुले उपयोगकर्ता सत्र स्वचालित रूप से समाप्त नहीं होंगे।

उपयोगकर्ता कार्ड में, जो हाइपरलिंक के माध्यम से प्रोग्राम की व्यक्तिगत सेटिंग्स में उपलब्ध है प्रतिबंध निर्धारित करेंआप प्रोग्राम में प्रवेश पर अतिरिक्त प्रतिबंध निर्दिष्ट कर सकते हैं (चित्र 4)।

चावल। 4

स्विच का उपयोग करके, आप प्रोग्राम में प्रवेश पर प्रतिबंध लगा सकते हैं:

• के अनुसार सामान्य सेटिंग्सप्रवेश द्वार- डिफ़ॉल्ट रूप से स्थापित;
• कोई समय सीमा नहीं;
• तक प्रवेश की अनुमति है(आपको एक समय सीमा निर्धारित करनी होगी - तारीख मैन्युअल रूप से दर्ज करें या बटन का उपयोग करके कैलेंडर से चुनें)। कार्यक्रम में अनधिकृत पहुंच से बचाने के लिए, सभी उपयोगकर्ताओं के पास एक वैधता अवधि होती है जो उपयोगकर्ता को निर्दिष्ट तिथि तक पहुंचने पर स्वचालित रूप से डिस्कनेक्ट होने की अनुमति देती है;
• यदि अब और काम नहीं कर रहा है तो प्रवेश से इनकार करें(दिनों की संख्या निर्दिष्ट होनी चाहिए) - यदि उपयोगकर्ता निर्दिष्ट दिनों से अधिक समय तक प्रोग्राम में प्रवेश नहीं करता है, तो प्रोग्राम में प्रवेश संभव नहीं होगा। इस स्थिति में, उपयोगकर्ता को प्रोग्राम में काम फिर से शुरू करने के लिए व्यवस्थापक से संपर्क करना होगा।

उपयोगकर्ता विवरण रिपोर्ट

प्रतिवेदन यूजर जानकारी(चित्र 5) लॉगिन सेटिंग्स (इन्फोबेस उपयोगकर्ता गुण) सहित प्रोग्राम उपयोगकर्ताओं के बारे में जानकारी देखने के लिए है। यदि आप लॉगिन सेटिंग्स (लॉगिन नाम, प्रमाणीकरण प्रकार, आदि) का समूह विश्लेषण करना चाहते हैं तो रिपोर्ट की आवश्यकता उत्पन्न होती है।

रिपोर्ट सूची से खुलती है उपयोगकर्ताओं (बाहरी उपयोगकर्ताओं) आदेश पर सभी क्रियाएँ - उपयोगकर्ता जानकारी (सभी क्रियाएं-बाहरी उपयोगकर्ताओं के बारे में). सूची के प्रकार के आधार पर, प्रोग्राम स्वचालित रूप से वांछित रिपोर्ट विकल्प का चयन करता है।

एक रिपोर्ट में आंतरिक और बाहरी उपयोगकर्ताओं के बारे में जानकारी अनुभाग कार्रवाई पैनल के माध्यम से खोली जा सकती है प्रशासनआदेश पर यूजर जानकारी.

यदि आप लॉगिन सेटिंग्स (लॉगिन नाम, प्रमाणीकरण प्रकार, आदि) का समूह विश्लेषण करना चाहते हैं तो रिपोर्ट की आवश्यकता उत्पन्न होती है।

चावल। 5

एक बटन का उपयोग करना सेटिंग्स...आप फ़ील्ड की सूची खोल सकते हैं और, यदि आवश्यक हो, तो रिपोर्ट में आवश्यक फ़ील्ड जोड़ सकते हैं। उदाहरण के लिए, आप रिपोर्ट में फ़ील्ड जोड़ सकते हैं लॉगिन करने पर पासवर्ड बदलने की आवश्यकता हैऔर वैधता अवधि.

व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करना

निष्कर्ष में, यह ध्यान दिया जाना चाहिए कि प्रोग्राम तक पहुंच नियंत्रण प्रोग्राम द्वारा प्रदान किए गए डेटा सुरक्षा तत्वों में से केवल एक है।

1 नवंबर 2012 संख्या 1119 के रूसी संघ की सरकार के डिक्री ने व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं को मंजूरी दे दी, जो व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा के स्तर को परिभाषित करती है। इस डेटा की सुरक्षा के खतरों पर। इन आवश्यकताओं के अनुसार, 18 फरवरी, 2013 के रूस के FSTEC के आदेश द्वारा। नंबर 21 व्यक्तिगत डेटा सूचना प्रणालियों में प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों की संरचना और सामग्री का विवरण देता है।

व्यक्तिगत डेटा पर वर्तमान कानून के मानदंड सॉफ़्टवेयर उत्पादों पर अतिरिक्त आवश्यकताएं लगाते हैं, विशेष रूप से सॉफ़्टवेयर पर जो जानकारी की सुरक्षा का एक साधन है।

व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए, संरक्षित सॉफ़्टवेयर पैकेज (ZPK) "1C:एंटरप्राइज़, संस्करण 8.3z" डिज़ाइन किया गया है, जो रूस के FSTEC द्वारा प्रमाणित एक सामान्य-उद्देश्यीय सॉफ़्टवेयर है जिसमें जानकारी को अनधिकृत लोगों से बचाने के अंतर्निहित साधन हैं। उस जानकारी तक पहुंच (एनएसडी) जिसमें ऐसी जानकारी शामिल नहीं है जो राज्य रहस्य का गठन करती है।

ZPK "1C:एंटरप्राइज़ 8.3z" आपको ब्लॉक करने की अनुमति देता है:

• COM ऑब्जेक्ट लॉन्च करना, बाहरी प्रोसेसिंग और रिपोर्ट, 1C:एंटरप्राइज़ सर्वर पर इंस्टॉल किए गए एप्लिकेशन;
• बाहरी 1सी का उपयोग: उद्यम घटक;
• इंटरनेट संसाधनों तक पहुंच.

मानक "1C: पब्लिक इंस्टीट्यूशन अकाउंटिंग" संस्करण 2 और ZPK "1C: एंटरप्राइज 8.3z" का संयुक्त उपयोग आपको सभी सुरक्षा स्तरों के व्यक्तिगत डेटा की एक सूचना प्रणाली बनाने की अनुमति देता है, और इस एप्लिकेशन समाधान के अतिरिक्त प्रमाणीकरण की आवश्यकता नहीं है।

FSTEC-प्रमाणित ऑपरेटिंग सिस्टम, DBMS और अन्य प्रमाणित उपकरणों के साथ ZPK "1C:Enterprise 8.3z" का उपयोग आपको उपरोक्त नियामक दस्तावेजों की आवश्यकताओं का पूरी तरह से पालन करने की अनुमति देता है।

चूंकि "1C: सार्वजनिक संस्थान लेखांकन" संघीय राजकोष अधिकारियों, कर अधिकारियों, राज्य और नगरपालिका भुगतान (जीआईएस जीएमपी), संघीय संपत्ति के लेखांकन (एएसयूएफआई), पंजीकरण और भुगतान के संचय (आईएस आरएनआईपी) पर सूचना प्रणाली के साथ डेटा विनिमय सुनिश्चित करता है। आदि, इंटरनेट के माध्यम से, सुरक्षा आवश्यकताओं को पूरा करने के लिए, सुविधा को प्रमाणित फ़ायरवॉल उपकरण प्रदान किए जाने चाहिए।

बेशक, उन कंप्यूटरों की जांच करना आवश्यक है जिन पर प्रोग्राम दुर्भावनापूर्ण सॉफ़्टवेयर की उपस्थिति के लिए स्थापित है। कंप्यूटर प्रोग्रामरूस की FSTEC प्रमाणन प्रणाली में प्रमाणित एंटी-वायरस सुरक्षा उत्पादों का उपयोग करना।

2009

अनुभाग "1सी प्रौद्योगिकियों का उपयोग करके शिक्षा प्रणाली के विभिन्न स्तरों पर प्रबंधकीय, वित्तीय और आर्थिक तंत्र का आधुनिकीकरण"

"25. 1सी:एंटरप्राइज़ 8.1 प्रणाली में सूचना सुरक्षा सुनिश्चित करने के तरीके और साधन" (पी.बी. खोरेव, रूसी राज्य सामाजिक विश्वविद्यालय (आरजीएसयू), मॉस्को)

प्रस्तुति

सूचना प्रौद्योगिकियों और प्रणालियों का निरंतर विकास, दुर्भाग्य से, पुरानी समस्याओं के बढ़ने और नई समस्याओं के उद्भव की ओर ले जाता है। इन समस्याओं में से एक सूचना सुरक्षा की समस्या है - इसकी सुरक्षा और उपयोग की स्थापित स्थिति का विश्वसनीय प्रावधान। इसलिए, सूचना और सूचना प्रक्रियाओं की सुरक्षा सुनिश्चित करना आधुनिक सूचना प्रणालियों का एक अनिवार्य कार्य है।

सूचना प्रणाली वस्तुओं तक अनधिकृत पहुंच से सुरक्षा के मुख्य तरीके हैं

• सूचना प्रणालियों और उनके द्वारा सक्रिय प्रक्रियाओं के उपयोगकर्ताओं की पहचान और प्रमाणीकरण;
• विषयों का प्राधिकरण (गोपनीय जानकारी के साथ किसी वस्तु तक विषय के पहुंच अधिकारों का निर्धारण);
• सूचना प्रणाली की सुरक्षा से संबंधित घटनाओं का ऑडिट।

यह रिपोर्ट 1सी:एंटरप्राइज़ 8.1 सिस्टम में उपलब्ध सूचना सुरक्षा सुनिश्चित करने के तरीकों और साधनों पर चर्चा करेगी।

1सी:एंटरप्राइज़ 8.1 सिस्टम में डेटाबेस प्रशासक उन उपयोगकर्ताओं की सूची बना और संपादित कर सकता है जिन्हें सिस्टम के साथ काम करने की अनुमति है। एक नया उपयोगकर्ता जोड़ते समय (प्रारंभ में उपयोगकर्ताओं की सूची खाली होती है), बनाए जा रहे खाते के निम्नलिखित गुण निर्दिष्ट किए जाते हैं ("बेसिक" टैब पर):

• वह नाम जिसके तहत उपयोगकर्ता सिस्टम में पंजीकृत होगा;
• पूरा नाम (इस संपत्ति का उपयोग उस संगठन के कर्मचारी के विभाग के अंतिम नाम, प्रथम नाम और संरक्षक, स्थिति और नाम को निर्दिष्ट करने के लिए करना उचित है जिसमें सिस्टम का उपयोग किया जाता है);
• "1C:एंटरप्राइज़" प्रमाणीकरण ध्वज (जब यह "चेकबॉक्स" चेक किया जाता है, जब कोई उपयोगकर्ता "1C:एंटरप्राइज़" सिस्टम में लॉग इन करने का प्रयास करता है, तो उसकी पहचान और प्रमाणीकरण सिस्टम का उपयोग करके ही किया जाएगा);
• उपयोगकर्ता पासवर्ड, जिसकी प्रविष्टि 1C:एंटरप्राइज़ सिस्टम का उपयोग करके उसकी पहचान करने के लिए आवश्यक होगी:
• उपयोगकर्ता पासवर्ड की पुष्टि (पासवर्ड दर्ज करते समय त्रुटि की संभावना को खत्म करने के लिए आवश्यक है, क्योंकि दर्ज करते समय पासवर्ड प्रतीकों को * प्रतीकों से बदल दिया जाता है);
• एक संकेत कि उपयोगकर्ता को 1C:Enterprise का उपयोग करके प्रमाणित होने पर अपना पासवर्ड बदलने से प्रतिबंधित किया गया है;
• एक संकेत कि 1C:Enterprise का उपयोग करके लॉग इन करने और प्रमाणित करने का प्रयास करते समय उपयोगकर्ता नाम सूची में प्रदर्शित होता है;
• विंडोज़ प्रमाणीकरण ध्वज (जब यह "फ़्लैग" सक्षम होता है, जब कोई उपयोगकर्ता 1सी:एंटरप्राइज़ सिस्टम में लॉग इन करने का प्रयास करता है, तो वह नाम जिसके तहत सत्र माइक्रोसॉफ्ट विंडोज़ ऑपरेटिंग सिस्टम के साथ चल रहा है, निर्धारित किया जाएगा, और वह नाम जिसके तहत नाम निर्धारित किया जाएगा 1C:एंटरप्राइज़ सिस्टम "वर्तमान" विंडोज़ उपयोगकर्ता) के उपयोगकर्ताओं की सूची में पत्राचार खोजा जाएगा;
• विंडोज़ ऑपरेटिंग सिस्टम का उपयोगकर्ता नाम जिसके साथ 1C:एंटरप्राइज़ सिस्टम का यह उपयोगकर्ता जुड़ा हुआ है, विंडोज़ ऑपरेटिंग सिस्टम का उपयोग करके प्रमाणीकरण का उपयोग करते समय (नाम को \\डोमेन नाम\उपयोगकर्ता खाता नाम प्रारूप में निर्दिष्ट किया जा सकता है या संबंधित बटन का उपयोग करके चुना जा सकता है) इस कंप्यूटर पर ज्ञात स्थानीय और वैश्विक खातों की सूची से)।

डेटाबेस प्रशासक, इन्फोबेस पैरामीटर सेटिंग्स का उपयोग करके, सिस्टम उपयोगकर्ता पासवर्ड की न्यूनतम लंबाई निर्धारित कर सकता है (यदि "उपयोगकर्ता पासवर्ड की जटिलता की जांच करना" चेकबॉक्स चुना गया है, तो पासवर्ड की न्यूनतम लंबाई 7 अक्षरों से कम नहीं हो सकती) और इसकी आवश्यकता है उपयोगकर्ता पासवर्ड जटिलता शर्तों को पूरा करते हैं, विंडोज़ उपयोगकर्ता पासवर्ड की जटिलता की आवश्यकताओं को पूरा करते हैं (इसके अलावा, पासवर्ड वर्णों का अनुक्रम नहीं होना चाहिए)।

1सी:एंटरप्राइज सिस्टम में लॉग इन करते समय उपयोगकर्ताओं को प्रमाणित करने का सबसे सुरक्षित तरीका 1सी:एंटरप्राइज और विंडोज टूल्स का उपयोग करके प्रमाणीकरण को संयोजित करना है। इस मामले में, "1सी:एंटरप्राइज़" प्रमाणीकरण गुण समूह में "चयन सूची में दिखाएं" चेकबॉक्स को अनचेक करने की सलाह दी जाती है, और विंडोज़ सुरक्षा सेटिंग्स में, पासवर्ड की न्यूनतम लंबाई और जटिलता के लिए आवश्यकताओं को सक्षम करें, उनकी सीमा सीमित करें। अधिकतम वैधता अवधि, पासवर्ड की गैर-दोहरावशीलता और उनकी न्यूनतम वैधता अवधि, और एक थ्रेशोल्ड विंडोज लॉगऑन विफलता काउंटर मान निर्धारित करें।

उपयोगकर्ता प्रमाणीकरण संवाद को 1C:Enterprise (यदि Windows प्रमाणीकरण चेकबॉक्स सक्षम है) का उपयोग करके प्रदर्शित करने के लिए बाध्य करने के लिए, आपको 1C:Enterprise प्रारंभ करते समय /WA+ कमांड लाइन पैरामीटर का उपयोग करना होगा।

यह ध्यान में रखा जाना चाहिए कि 1C:एंटरप्राइज़ सिस्टम के उपयोगकर्ताओं की सूची इसके कॉन्फ़िगरेशन का हिस्सा नहीं है, बल्कि प्रत्येक संगठन के लिए अलग से बनाई गई है जिसमें यह सिस्टम स्थापित है।

1सी:एंटरप्राइज़ सिस्टम में एक भूमिका विभिन्न डेटाबेस ऑब्जेक्ट तक पहुंच अधिकारों का एक सेट है। आमतौर पर, भूमिकाएँ व्यक्तिगत कार्य जिम्मेदारियों के लिए बनाई जाती हैं, और सिस्टम के प्रत्येक उपयोगकर्ता को एक या अधिक भूमिकाएँ सौंपी जा सकती हैं। यदि किसी उपयोगकर्ता को कई भूमिकाएँ सौंपी गई हैं, तो उसे डेटाबेस ऑब्जेक्ट तक पहुँच प्रदान करना निम्नानुसार किया जाएगा:

1. यदि उपयोगकर्ता को सौंपी गई भूमिकाओं में से कम से कम एक भूमिका अनुरोधित पहुंच की अनुमति देती है, तो यह उपयोगकर्ता को प्रदान की जाती है।
2. यदि किसी उपयोगकर्ता को सौंपी गई सभी भूमिकाएँ उचित पहुँच की अनुमति नहीं देती हैं, तो अनुरोधित पहुँच प्रदान नहीं की जाती है।

भूमिकाएँ बनाने और संपादित करने के लिए, 1C:एंटरप्राइज़ सिस्टम कॉन्फ़िगरेशनकर्ता का उपयोग करें। कॉन्फ़िगरेशन निर्माण प्रक्रिया के दौरान, मानक भूमिकाओं का एक सेट बनाया जाता है, जिसे बाद में संपादित किया जा सकता है।

भूमिका बनाते या संपादित करते समय, दो टैब वाली एक विंडो का उपयोग किया जाता है - "अधिकार" और "प्रतिबंध टेम्पलेट"। "अधिकार" टैब में सभी उपप्रणालियों के लिए कॉन्फ़िगरेशन ऑब्जेक्ट की एक पदानुक्रमित संरचना और चयनित ऑब्जेक्ट पर लागू एक्सेस अधिकारों की एक सूची शामिल है (अधिकार को सक्षम करने के लिए, आपको संबंधित "चेकबॉक्स" का चयन करना होगा)।

1सी:एंटरप्राइज़ सिस्टम में, दो प्रकार के अधिकार हैं - बुनियादी और इंटरैक्टिव। सूचना प्रणाली वस्तुओं तक पहुँचने पर मूल अधिकारों की जाँच की जाती है। इंटरएक्टिव संचालन करते समय इंटरएक्टिव अधिकारों की जाँच की जाती है (उदाहरण के लिए, किसी फॉर्म में डेटा देखना और संपादित करना)।

1सी:एंटरप्राइज़ सिस्टम अंतर्निहित भाषा का उपयोग करके एक्सेस अधिकारों की जांच करने की अनुमति देता है। उदाहरण के लिए, किसी फॉर्म में नए कमांड जोड़ते समय, डेवलपर को अतिरिक्त रूप से जांचना होगा कि उपयोगकर्ता के पास उचित इंटरैक्टिव अधिकार हैं।

किसी भूमिका को संपादित करते समय, अधिकारों की विरासत (पदानुक्रम) को ध्यान में रखना आवश्यक है: "माता-पिता" ("वरिष्ठ") अधिकार को रद्द करते समय, उसके "बच्चे" ("जूनियर") अधिकार भी रद्द कर दिए जाते हैं, और स्थापित करते समय एक "बच्चे" का अधिकार, उसका "माता-पिता" का अधिकार भी स्थापित होता है। उदाहरण के लिए, जब आप दृश्य अधिकार को रद्द करते हैं, तो संबंधित ऑब्जेक्ट का संपादन अधिकार भी रद्द हो जाता है।

"नए ऑब्जेक्ट के लिए अधिकार सेट करें" चेकबॉक्स का उपयोग करके, आप यह सुनिश्चित कर सकते हैं कि संपादित भूमिका स्वचालित रूप से नए (बाद में जोड़े गए) कॉन्फ़िगरेशन ऑब्जेक्ट तक पहुंच अधिकार सेट करती है।

रूट कॉन्फ़िगरेशन ऑब्जेक्ट के लिए निम्नलिखित एक्सेस अधिकार सेट किए जा सकते हैं:

• प्रशासनिक कार्य (कॉन्फ़िगरेशन खोलना, उपयोगकर्ता सूची खोलना, लॉग सेट करना, कॉन्फ़िगरेशन अपडेट करना और अन्य प्रशासनिक क्रियाएं शामिल हैं);
• डेटाबेस कॉन्फ़िगरेशन को अद्यतन करना;
• एकाधिकार मोड;
• सक्रिय उपयोगकर्ता (उनकी सूची खोलना);
• लॉग (इस लॉग को खोलना);
• बाहरी कनेक्शन (COM इंटरफ़ेस के माध्यम से सिस्टम के साथ काम करना);
• स्वचालन (स्वचालन सर्वर के रूप में सिस्टम के साथ काम करना);
• बाहरी प्रसंस्करण का इंटरैक्टिव उद्घाटन;
• बाहरी रिपोर्टों का इंटरैक्टिव उद्घाटन;
• आउटपुट प्रिंटिंग, सेविंग, सिस्टम के साथ काम करते समय क्लिपबोर्ड का उपयोग करना)।

प्रशासन में आसानी के लिए, 1C:एंटरप्राइज़ सिस्टम इस कॉन्फ़िगरेशन में बनाई गई सभी भूमिकाओं को देखने और संपादित करने के लिए एक विंडो प्रदान करता है। यदि किसी निश्चित भूमिका के लिए आपको चयनित ऑब्जेक्ट के सभी एक्सेस अधिकारों को रद्द करने या सेट करने की आवश्यकता है, तो आप संपादित की जा रही भूमिका के नाम वाले कॉलम के लिए "सभी अधिकार" पंक्ति में चेकबॉक्स का उपयोग कर सकते हैं। यदि किसी निश्चित पहुंच अधिकार को रद्द करने या सभी भूमिकाओं में सेट करने की आवश्यकता है, तो आप सभी भूमिकाएं कॉलम के लिए संबंधित अधिकार के नाम के साथ पंक्ति में चेकबॉक्स का उपयोग कर सकते हैं।

व्यक्तिगत फ़ील्ड और रिकॉर्ड के स्तर पर डेटाबेस ऑब्जेक्ट तक पहुंच को सीमित करने के लिए, 1C: एंटरप्राइज़ सिस्टम डेटा तक पहुंच को प्रतिबंधित करने के लिए एक तंत्र प्रदान करता है (इन ऑब्जेक्ट को पढ़ने, जोड़ने, बदलने और हटाने के अधिकारों का उपयोग करके)। पढ़ने के अधिकार के लिए कई पहुंच प्रतिबंध निर्धारित करना संभव है, और शेष निर्दिष्ट अधिकारों के लिए केवल एक प्रतिबंध।

प्रत्येक डेटा एक्सेस प्रतिबंध के लिए दाईं ओर पढ़कर, आप एक फ़ील्ड का चयन कर सकते हैं जिसके मान से एक्सेस प्रतिबंध की स्थिति की जाँच की जाएगी, या "अन्य फ़ील्ड" निर्दिष्ट कर सकते हैं, जो यह सुनिश्चित करेगा कि प्रत्येक फ़ील्ड के लिए स्थिति की जाँच की गई है।

डेटा तक पहुंच को प्रतिबंधित करने की स्थिति को डिज़ाइनर का उपयोग करके या मैन्युअल रूप से भूमिका संपादन विंडो के "प्रतिबंध टेम्पलेट्स" टैब पर नामित एक्सेस प्रतिबंध टेम्पलेट्स बनाकर और संपादित करके परिभाषित किया जा सकता है।

उपयोगकर्ता के काम को सुविधाजनक बनाने और उसके अधिकारों को और सीमित करने के लिए, 1C:एंटरप्राइज़ सिस्टम एक इंटरफ़ेस तंत्र प्रदान करता है। इन ऑब्जेक्ट का उपयोग करके, मुख्य मेनू कमांड और टूलबार तत्वों के सेट बनाए जाते हैं जिनके साथ उपयोगकर्ता काम कर सकता है। मुख्य इंटरफ़ेस मेनू डिज़ाइनर का उपयोग करके, व्यवस्थापक सबमेनू की एक सूची और प्रत्येक सबमेनू के लिए कमांड की एक सूची बनाता है।

मुख्य मेनू की संरचना को परिभाषित करने के बाद, बनाए गए इंटरफ़ेस में एक या अधिक टूलबार जोड़े जा सकते हैं। ये पैनल 1C:एंटरप्राइज़ प्रोग्राम विंडो में ऊपर, नीचे, बाएँ और दाएँ स्थित हो सकते हैं।

ध्यान दें कि भूमिकाएँ और इंटरफ़ेस बनाने के बाद, डेटाबेस कॉन्फ़िगरेशन को अद्यतन करना आवश्यक है ताकि सूचना प्रणाली के नए उपयोगकर्ताओं को बनाई गई भूमिकाएँ और इंटरफ़ेस सौंपे जा सकें।

जिन घटनाओं को 1C:एंटरप्राइज़ सिस्टम लॉग में रिकॉर्ड किया जाना चाहिए, उन्हें व्यवस्थापक द्वारा इसके कॉन्फ़िगरेशन फ़ंक्शन का उपयोग करके निर्दिष्ट किया जा सकता है। यहां आप उस समय की अवधि का भी चयन कर सकते हैं जिसके बाद लॉग को एक नई फ़ाइल में सहेजा जाएगा, साथ ही निर्दिष्ट अवधि की समाप्ति से पहले लॉग प्रविष्टियों को हटाकर उन्हें छोटा कर सकते हैं और संभवतः उन्हें एक फ़ाइल में सहेज सकते हैं।

साहित्य

1. रैडचेंको एम.जी. "1सी:एंटरप्राइज़ 8.1. डेवलपर्स के लिए व्यावहारिक मार्गदर्शिका. उदाहरण और विशिष्ट तकनीकें. एम.: 1सी-पब्लिशिंग एलएलसी, सेंट पीटर्सबर्ग: पीटर, 2007।
2. 1सी:एंटरप्राइज़ 8.1. विन्यास और प्रशासन. एम.: फर्म "1सी", 2007।

यह लेख एक बार फिर दर्शाता है कि सुरक्षा उपायों के किसी भी सेट में कार्यान्वयन के सभी चरण शामिल होने चाहिए: विकास, तैनाती, सिस्टम प्रशासन और निश्चित रूप से, संगठनात्मक उपाय। सूचना प्रणालियों में यह " मानवीय कारक"(उपयोगकर्ताओं सहित) मुख्य सुरक्षा खतरा है। उपायों का यह सेट उचित और संतुलित होना चाहिए: इसका कोई मतलब नहीं है और यह संभावना नहीं है कि सुरक्षा को व्यवस्थित करने के लिए पर्याप्त धन आवंटित किया जाएगा जो डेटा की लागत से अधिक है।

परिचय

1सी:एंटरप्राइज़ रूस में सबसे आम लेखा प्रणाली है, लेकिन इसके बावजूद, संस्करण 8.0 तक इसके डेवलपर्स ने सुरक्षा मुद्दों पर बहुत कम ध्यान दिया। मूल रूप से, निश्चित रूप से, यह उत्पाद के मूल्य क्षेत्र और छोटे व्यवसायों पर ध्यान केंद्रित करने से तय होता था जहां कोई योग्य आईटी विशेषज्ञ नहीं हैं, और एक सुरक्षित प्रणाली को तैनात करने और बनाए रखने की संभावित लागत उद्यम के लिए अत्यधिक महंगी होगी। संस्करण 8.0 के जारी होने के साथ, जोर बदलना पड़ा: समाधानों की लागत में काफी वृद्धि हुई, सिस्टम बहुत अधिक स्केलेबल और लचीला हो गया - आवश्यकताओं में काफी बदलाव आया। क्या सिस्टम पर्याप्त रूप से विश्वसनीय और सुरक्षित हो गया है यह एक बहुत ही व्यक्तिगत प्रश्न है। एक आधुनिक उद्यम की मुख्य सूचना प्रणाली को कम से कम निम्नलिखित सुरक्षा आवश्यकताओं को पूरा करना चाहिए:

• आंतरिक कारणों से सिस्टम विफलता की संभावना काफी कम है।
• विश्वसनीय उपयोगकर्ता प्राधिकरण और गलत कार्यों से डेटा सुरक्षा।
• उपयोगकर्ता अधिकार निर्दिष्ट करने के लिए एक प्रभावी प्रणाली।
• ऑपरेटिंग सिस्टमविफलता के मामले में बैकअप और पुनर्प्राप्ति।

क्या 1सी:एंटरप्राइज़ 8.0 पर आधारित समाधान इन आवश्यकताओं को पूरा करते हैं? कोई स्पष्ट उत्तर नहीं है. अभिगम नियंत्रण प्रणाली में महत्वपूर्ण बदलावों के बावजूद, कई अनसुलझे मुद्दे बने हुए हैं। सिस्टम कैसे विकसित और कॉन्फ़िगर किया गया है, इसके आधार पर, किसी दिए गए कार्यान्वयन के लिए इन सभी आवश्यकताओं को पर्याप्त हद तक पूरा या पूरा नहीं किया जा सकता है, हालांकि, यह ध्यान देने योग्य है (और यह मंच के "युवा" का एक महत्वपूर्ण परिणाम है ) कि सूचीबद्ध शर्तों को पूरी तरह से पूरा करने के लिए वास्तव में अत्यंत कठिन प्रयास करना आवश्यक है।

यह आलेख 1सी:एंटरप्राइज़ प्लेटफ़ॉर्म पर समाधानों के डेवलपर्स और कार्यान्वयनकर्ताओं के साथ-साथ उन संगठनों के सिस्टम प्रशासकों के लिए है जहां 1सी:एंटरप्राइज़ का उपयोग किया जाता है, और इस बिंदु से सिस्टम के क्लाइंट-सर्वर संस्करण को विकसित करने और कॉन्फ़िगर करने के कुछ पहलुओं का वर्णन करता है। सूचना सुरक्षा के आयोजन की दृष्टि से. इस आलेख का उपयोग दस्तावेज़ीकरण के प्रतिस्थापन के रूप में नहीं किया जा सकता है, बल्कि केवल कुछ बिंदुओं पर प्रकाश डाला गया है जो अभी तक इसमें प्रतिबिंबित नहीं हुए हैं। और, निश्चित रूप से, न तो यह लेख और न ही सभी दस्तावेज़ एक सुरक्षित सूचना प्रणाली के निर्माण की समस्या की जटिलता को प्रतिबिंबित करने में सक्षम होंगे, जिसे एक ही समय में सुरक्षा, प्रदर्शन, सुविधा और कार्यक्षमता की परस्पर विरोधी आवश्यकताओं को पूरा करना होगा।

वर्गीकरण एवं शब्दावली

लेख में विचार का मुख्य विषय सूचना संबंधी ख़तरे हैं।

सूचना का खतरा- ऐसी स्थिति की संभावना जहां डेटा को प्राधिकरण के बिना पढ़ा जाएगा, कॉपी किया जाएगा, बदला जाएगा या ब्लॉक किया जाएगा।

और, इस परिभाषा के आधार पर, लेख सूचना खतरों को निम्नानुसार वर्गीकृत करता है:

• डेटा का अनधिकृत विनाश
• डेटा का अनधिकृत परिवर्तन
• डेटा की अनधिकृत प्रतिलिपि
• डेटा का अनधिकृत पढ़ना
• डेटा अनुपलब्धता

सभी खतरों को जानबूझकर और अनजाने में विभाजित किया गया है। हम एक एहसास हुआ सूचना खतरा कहेंगे घटना. प्रणाली की विशेषताएं हैं:

कमजोरियों- घटनाओं की ओर ले जाने वाली विशेषताएँ सुरक्षा उपाय- ऐसी विशेषताएं जो किसी घटना की संभावना को रोकती हैं

मूल रूप से केवल उन्हीं मामलों पर विचार किया जाता है, जिनकी संभावना के उपयोग के कारण होती है प्रौद्योगिकी मंच 1सी: क्लाइंट-सर्वर संस्करण में एंटरप्राइज़ 8.0 (इसके बाद, ऐसे मामलों में जहां यह केवल 1सी या 1सी 8.0 के अर्थ का खंडन नहीं करता है)। आइए सिस्टम के उपयोग के संबंध में निम्नलिखित मुख्य भूमिकाओं को परिभाषित करें:

• ऑपरेटर्स- वे उपयोगकर्ता जिनके पास एप्लिकेशन भूमिका द्वारा सीमित डेटा को देखने और बदलने का अधिकार है, लेकिन उनके पास प्रशासनिक कार्य नहीं हैं
• सिस्टम प्रशासक- वे उपयोगकर्ता जिनके पास सिस्टम में प्रशासनिक अधिकार हैं, जिनमें एप्लिकेशन सर्वर और एमएस एसक्यूएल सर्वर के ऑपरेटिंग सिस्टम में प्रशासनिक अधिकार, एमएस एसक्यूएल में प्रशासनिक अधिकार आदि शामिल हैं।
• सूचना सुरक्षा प्रशासक- जिन उपयोगकर्ताओं को 1सी सूचना आधार में कुछ प्रशासनिक कार्य सौंपे गए हैं (जैसे कि उपयोगकर्ताओं को जोड़ना, परीक्षण और फिक्सिंग, बैकअप, एप्लिकेशन समाधान स्थापित करना आदि)
• सिस्टम डेवलपर्स- उपयोगकर्ता एक एप्लिकेशन समाधान विकसित कर रहे हैं। सामान्य तौर पर, उनके पास कार्य प्रणाली तक पहुंच नहीं हो सकती है।
• ऐसे व्यक्ति जिनकी सिस्टम तक सीधी पहुंच नहीं है- जिन उपयोगकर्ताओं को 1C तक पहुंचने का अधिकार नहीं दिया गया है, लेकिन जो किसी न किसी हद तक सिस्टम के संचालन को प्रभावित कर सकते हैं (आमतौर पर ये सभी उसी सक्रिय निर्देशिका डोमेन के उपयोगकर्ता हैं जिसमें सिस्टम स्थापित है)। इस श्रेणी को मुख्य रूप से सिस्टम में संभावित खतरनाक संस्थाओं की पहचान करने के लिए माना जाता है।
• स्वचालित प्रशासनिक स्क्रिप्ट- ऐसे प्रोग्राम जिन्हें कुछ कार्य सौंपे गए हैं, कुछ कार्यों को स्वचालित रूप से करने के लिए डिज़ाइन किए गए हैं (उदाहरण के लिए, डेटा का आयात-निर्यात)

यहां दो बिंदुओं पर ध्यान दिया जाना चाहिए: सबसे पहले, यह वर्गीकरण बहुत कठिन है और प्रत्येक समूह के भीतर विभाजन को ध्यान में नहीं रखता है - ऐसा विभाजन कुछ विशिष्ट मामलों के लिए बनाया जाएगा, और दूसरी बात, यह माना जाता है कि अन्य व्यक्ति ऑपरेशन को प्रभावित नहीं कर सकते हैं सिस्टम का, जिसे 1C के बाहरी साधनों द्वारा प्रदान किया जाना चाहिए।

किसी भी सुरक्षा प्रणाली को व्यवहार्यता और स्वामित्व की लागत को ध्यान में रखकर डिज़ाइन किया जाना चाहिए। सामान्य तौर पर, किसी सूचना प्रणाली को विकसित और कार्यान्वित करते समय, यह आवश्यक है कि सिस्टम की सुरक्षा की कीमत इसके अनुरूप हो:

• संरक्षित जानकारी का मूल्य;
• किसी घटना को अंजाम देने की लागत (जानबूझकर दी गई धमकी के मामले में);
• किसी घटना की स्थिति में वित्तीय जोखिम

किसी ऐसे बचाव का आयोजन करना व्यर्थ और हानिकारक है जो उसकी वित्तीय प्रभावशीलता का आकलन करने से कहीं अधिक महंगा है। सूचना हानि के जोखिमों का आकलन करने के लिए कई तरीके हैं, लेकिन इस लेख के दायरे में उनकी चर्चा नहीं की गई है। एक अन्य महत्वपूर्ण पहलू सूचना सुरक्षा, सिस्टम प्रदर्शन, सुविधा और सिस्टम के साथ काम करने में आसानी, विकास और कार्यान्वयन की गति और उद्यम सूचना प्रणालियों के लिए अन्य आवश्यकताओं के लिए अक्सर परस्पर विरोधी आवश्यकताओं का संतुलन बनाए रखना है।

सिस्टम सूचना सुरक्षा तंत्र की मुख्य विशेषताएं

1सी:एंटरप्राइज़ 8.0 दो संस्करणों में आता है: फ़ाइल और क्लाइंट-सर्वर। निम्नलिखित कारणों से सिस्टम की सूचना सुरक्षा सुनिश्चित करने के लिए फ़ाइल संस्करण पर विचार नहीं किया जा सकता है:

• डेटा और कॉन्फ़िगरेशन को एक फ़ाइल में संग्रहीत किया जाता है जो सिस्टम के सभी उपयोगकर्ताओं द्वारा पढ़ने योग्य और लिखने योग्य है।
• जैसा कि नीचे दिखाया जाएगा, सिस्टम प्राधिकरण को बहुत आसानी से बायपास किया जा सकता है।
• सिस्टम की अखंडता केवल क्लाइंट भाग के कर्नेल द्वारा सुनिश्चित की जाती है।

क्लाइंट-सर्वर संस्करण में, MS SQL सर्वर का उपयोग जानकारी संग्रहीत करने के लिए किया जाता है, जो प्रदान करता है:

• अधिक विश्वसनीय डेटा भंडारण.
• सीधी पहुँच से फ़ाइलों का अलगाव।
• अधिक उन्नत लेनदेन और लॉकिंग तंत्र।

सिस्टम के फ़ाइल और क्लाइंट-सर्वर संस्करणों के बीच महत्वपूर्ण अंतर के बावजूद, उनके पास एप्लिकेशन समाधान स्तर पर एक एकीकृत एक्सेस नियंत्रण योजना है, जो निम्नलिखित क्षमताएं प्रदान करती है:

• 1सी में निर्दिष्ट पासवर्ड का उपयोग करके उपयोगकर्ता प्राधिकरण।
• वर्तमान विंडोज़ उपयोगकर्ता पर आधारित उपयोगकर्ता प्राधिकरण।
• सिस्टम उपयोगकर्ताओं को भूमिकाएँ सौंपना।
• भूमिका के आधार पर प्रशासनिक कार्यों को सीमित करना।
• भूमिकाओं के अनुसार उपलब्ध इंटरफेस का असाइनमेंट।
• भूमिका के आधार पर मेटाडेटा ऑब्जेक्ट तक पहुंच को प्रतिबंधित करना।
• भूमिका के आधार पर वस्तु विवरण तक पहुंच प्रतिबंधित करना।
• भूमिकाओं और सत्र मापदंडों द्वारा डेटा ऑब्जेक्ट तक पहुंच को प्रतिबंधित करना।
• डेटा और निष्पादन योग्य मॉड्यूल तक इंटरैक्टिव पहुंच को प्रतिबंधित करना।
• कुछ कोड निष्पादन प्रतिबंध।

सामान्य तौर पर, उपयोग की जाने वाली डेटा एक्सेस योजना इस स्तर की सूचना प्रणालियों के लिए काफी विशिष्ट है। हालाँकि, त्रि-स्तरीय क्लाइंट-सर्वर आर्किटेक्चर के इस कार्यान्वयन के संबंध में, कई मूलभूत पहलू हैं जो अपेक्षाकृत बड़ी संख्या में कमजोरियाँ पैदा करते हैं:

1. बड़ी संख्या में डेटा प्रोसेसिंग चरण, और प्रत्येक चरण में वस्तुओं तक पहुँचने के लिए अलग-अलग नियम लागू हो सकते हैं।

   सुरक्षा की दृष्टि से महत्वपूर्ण डेटा प्रोसेसिंग चरणों का कुछ हद तक सरलीकृत आरेख चित्र 1 में दिखाया गया है। 1C के लिए सामान्य नियम यह है कि जैसे-जैसे आप इस योजना में आगे बढ़ते हैं, प्रतिबंधों को कम किया जाता है, इसलिए, ऊपरी स्तरों में से किसी एक पर भेद्यता का उपयोग करने से सभी स्तरों पर सिस्टम का संचालन बाधित हो सकता है।

2. एक स्तर से दूसरे स्तर पर जाने पर प्रेषित डेटा की निगरानी के लिए अपर्याप्त रूप से स्थापित प्रक्रियाएं।

   दुर्भाग्य से, सिस्टम के सभी आंतरिक तंत्र पूरी तरह से डिबग नहीं होते हैं, विशेष रूप से गैर-इंटरैक्टिव तंत्र के लिए, जिनमें से डिबगिंग हमेशा एक ओर अधिक श्रम-गहन होती है, लेकिन दूसरी ओर अधिक जिम्मेदार होती है। यह "बीमारी" केवल 1सी के साथ ही समस्या नहीं है, यह अधिकांश विक्रेताओं के कई सर्वर उत्पादों में पाई जाती है। में केवल हाल के वर्षइन समस्याओं पर ध्यान काफी बढ़ गया है।

3. पिछले संस्करण से विरासत में मिली डेवलपर्स और सिस्टम प्रशासकों की अपर्याप्त उच्च औसत योग्यताएँ।

   1C:एंटरप्राइज़ लाइन के उत्पाद शुरू में विकास और समर्थन में आसानी और छोटे संगठनों में काम करने पर केंद्रित थे, इसलिए यह आश्चर्य की बात नहीं है कि ऐतिहासिक रूप से यह विकसित हुआ है कि एप्लिकेशन समाधानों के "डेवलपर्स" और "प्रशासकों" का एक महत्वपूर्ण हिस्सा सिस्टम के पास अधिक जटिल उत्पाद, जो कि संस्करण 8.0 है, के साथ काम करने के लिए पर्याप्त ज्ञान और कौशल नहीं है। व्यवस्थित तरीके से संपर्क किए बिना, ग्राहकों की कीमत पर "मुकाबले में" प्रशिक्षित करने के लिए फ्रेंचाइजी कंपनियों द्वारा अपनाई गई प्रथा से समस्या बढ़ गई है। यह मुद्दा. 1सी कंपनी को श्रद्धांजलि अर्पित करना आवश्यक है कि पिछले कुछ वर्षों में इस स्थिति को धीरे-धीरे ठीक किया गया है: गंभीर फ्रेंचाइजी कंपनियों ने कर्मियों के चयन और प्रशिक्षण, सूचना प्रौद्योगिकी समर्थन के स्तर की समस्या के प्रति अधिक जिम्मेदार दृष्टिकोण अपनाना शुरू कर दिया है। 1C कंपनी में उल्लेखनीय वृद्धि हुई है, प्रमाणन कार्यक्रम उद्देश्य से सामने आए हैं उच्च स्तरसेवा; लेकिन स्थिति को तुरंत ठीक नहीं किया जा सकता है, इसलिए सिस्टम की सुरक्षा का विश्लेषण करते समय इस कारक को ध्यान में रखा जाना चाहिए।

4. मंच अपेक्षाकृत युवा है.

   समान फोकस और उपयोग के उद्देश्यों वाले उत्पादों में, यह सबसे युवा समाधानों में से एक है। प्लेटफ़ॉर्म की कार्यक्षमता कमोबेश एक वर्ष से भी कम समय पहले स्थापित की गई थी। उसी समय, प्लेटफ़ॉर्म की प्रत्येक रिलीज़, 8.0.10 से शुरू होकर (यह इस रिलीज़ में थी कि सिस्टम की लगभग सभी मौजूदा क्षमताओं को लागू किया गया था) पिछले वाले की तुलना में काफी अधिक स्थिर हो गया। मानक एप्लिकेशन समाधानों की कार्यक्षमता अभी भी तेजी से बढ़ रही है, हालांकि प्लेटफ़ॉर्म की केवल आधी क्षमताओं का उपयोग किया जाता है। बेशक, ऐसी स्थितियों में हम सशर्त रूप से स्थिरता के बारे में बात कर सकते हैं, लेकिन सामान्य तौर पर यह माना जाना चाहिए कि कई मामलों में 1C 8.0 प्लेटफॉर्म पर समाधान 1C पर समान समाधानों की कार्यक्षमता और प्रदर्शन (और अक्सर स्थिरता में) में काफी आगे हैं। 7.7 प्लेटफार्म.

तो, सिस्टम (और, संभवतः, एक मानक एप्लिकेशन समाधान) उद्यम में तैनात किया गया है और कंप्यूटर पर स्थापित किया गया है। सबसे पहले, एक ऐसा वातावरण बनाना आवश्यक है जिसमें 1C सुरक्षा स्थापित करना समझ में आता है, और इसके लिए इसे इस तरह से कॉन्फ़िगर किया जाना चाहिए कि यह धारणा पूरी हो कि सिस्टम सुरक्षा सिस्टम सेटिंग्स से महत्वपूर्ण रूप से प्रभावित होती है।

सुरक्षा स्थापित करने के लिए सामान्य नियमों का पालन करें।

यदि सुरक्षित सिस्टम बनाने के बुनियादी सिद्धांतों का पालन नहीं किया जाता है तो किसी सिस्टम की सूचना सुरक्षा की कोई बात नहीं हो सकती है। यह सुनिश्चित करना सुनिश्चित करें कि कम से कम निम्नलिखित शर्तें पूरी हों:

• सर्वर तक पहुंच भौतिक रूप से सीमित है और उनका निर्बाध संचालन सुनिश्चित किया जाता है:
  • सर्वर उपकरण विश्वसनीयता आवश्यकताओं को पूरा करता है, दोषपूर्ण सर्वर उपकरण के प्रतिस्थापन को समायोजित किया गया है, विशेष रूप से महत्वपूर्ण क्षेत्रों के लिए, हार्डवेयर के दोहराव वाली योजनाओं का उपयोग किया जाता है (RAID, कई स्रोतों से बिजली, कई संचार चैनल, आदि);
  • सर्वर एक बंद कमरे में स्थित हैं, और यह कमरा केवल उस कार्य की अवधि के लिए खोला जाता है जिसे दूर से नहीं किया जा सकता है;
  • आपातकालीन स्थिति में केवल एक या दो लोगों को सर्वर रूम खोलने का अधिकार है, जिम्मेदार व्यक्तियों के लिए एक अधिसूचना प्रणाली विकसित की गई है;
  • सर्वरों को निर्बाध बिजली आपूर्ति सुनिश्चित की जाती है
  • उपकरण की सामान्य जलवायु परिचालन स्थितियाँ सुनिश्चित की जाती हैं;
  • सर्वर रूम में फायर अलार्म है, बाढ़ का कोई खतरा नहीं है (विशेषकर पहली और आखिरी मंजिल के लिए);
• उद्यम के नेटवर्क और सूचना बुनियादी ढांचे की सेटिंग्स सही ढंग से पूरी की गई हैं:
  • फ़ायरवॉल सभी सर्वरों पर स्थापित और कॉन्फ़िगर किए गए हैं;
  • सभी उपयोगकर्ता और कंप्यूटर नेटवर्क पर अधिकृत हैं, पासवर्ड इतने जटिल हैं कि उनका अनुमान नहीं लगाया जा सकता है;
  • सिस्टम ऑपरेटरों के पास इसके साथ सामान्य रूप से काम करने के पर्याप्त अधिकार हैं, लेकिन प्रशासनिक कार्यों के अधिकार नहीं हैं;
  • नेटवर्क पर सभी कंप्यूटरों पर एंटी-वायरस उपकरण स्थापित और सक्षम हैं;
  • यह वांछनीय है कि उपयोगकर्ताओं (नेटवर्क प्रशासकों को छोड़कर) के पास क्लाइंट वर्कस्टेशन पर प्रशासनिक अधिकार नहीं हों;
  • इंटरनेट और हटाने योग्य भंडारण मीडिया तक पहुंच को विनियमित और सीमित किया जाना चाहिए;
  • सुरक्षा घटनाओं की सिस्टम ऑडिटिंग को कॉन्फ़िगर किया जाना चाहिए;
• मुख्य संगठनात्मक मुद्दों का समाधान कर लिया गया है:
  • उपयोगकर्ताओं के पास 1सी और हार्डवेयर के साथ काम करने के लिए पर्याप्त योग्यताएं हैं;
  • उपयोगकर्ताओं को ऑपरेटिंग नियमों के उल्लंघन के लिए जिम्मेदारी के बारे में सूचित किया जाता है;
  • सूचना प्रणाली के प्रत्येक भौतिक तत्व के लिए वित्तीय रूप से जिम्मेदार व्यक्तियों को नियुक्त किया गया है;
  • सभी सिस्टम इकाइयाँ सील और बंद हैं;
  • विशेष ध्यानघर की सफ़ाई करने वालों, निर्माण श्रमिकों और बिजली मिस्त्रियों को निर्देश देने और पर्यवेक्षण करने पर ध्यान दें। ये व्यक्ति, लापरवाही के माध्यम से, ऐसी क्षति पहुंचा सकते हैं जो सिस्टम के बेईमान उपयोगकर्ता द्वारा जानबूझकर की गई क्षति के बराबर नहीं है।

ध्यान! यह सूचीसंपूर्ण नहीं है, बल्कि केवल यह वर्णन करता है कि किसी भी काफी जटिल और महंगी सूचना प्रणाली को तैनात करते समय अक्सर क्या छूट जाता है!

• एमएस एसक्यूएल सर्वर, एप्लिकेशन सर्वर और क्लाइंट भाग विभिन्न कंप्यूटरों पर चलते हैं, सर्वर एप्लिकेशन विशेष रूप से बनाए गए विंडोज उपयोगकर्ताओं के अधिकारों के तहत चलते हैं;
• एमएस एसक्यूएल सर्वर के लिए
  • मिश्रित प्राधिकरण मोड सेट है
  • सर्वरएडमिन भूमिका में शामिल MS SQL उपयोगकर्ता 1C कार्य में भाग नहीं लेते हैं,
  • प्रत्येक IB 1C के लिए एक अलग MS SQL उपयोगकर्ता बनाया गया है जिसके पास सर्वर तक विशेषाधिकार प्राप्त पहुंच नहीं है,
  • एक आईएस के एमएस एसक्यूएल उपयोगकर्ता के पास दूसरे आईएस तक पहुंच नहीं है;
• उपयोगकर्ताओं के पास एप्लिकेशन सर्वर और MS SQL सर्वर फ़ाइलों तक सीधी पहुंच नहीं है
• ऑपरेटर वर्कस्टेशन Windows 2000/XP (Windows 95/98/Me नहीं) से सुसज्जित हैं

सिस्टम डेवलपर्स की सिफारिशों और दस्तावेज़ीकरण को पढ़ने की उपेक्षा न करें। सिस्टम की स्थापना पर महत्वपूर्ण सामग्री ITS डिस्क पर "पद्धति संबंधी अनुशंसाएँ" अनुभाग में प्रकाशित की जाती है। निम्नलिखित लेखों पर विशेष ध्यान दें:

1. 1सी:एंटरप्राइज़ सर्वर के साथ काम करने वाले अनुप्रयोगों की विशेषताएं
2. डेटा प्लेसमेंट 1सी:एंटरप्राइज़ 8.0
3. अपडेट 1C: एंटरप्राइज़ 8.0 Microsoft Windows उपयोगकर्ताओं द्वारा व्यवस्थापक अधिकारों के बिना
4. ऐसे उपयोगकर्ता की ओर से उपयोगकर्ता सूची का संपादन करना जिसके पास प्रशासनिक अधिकार नहीं हैं
5. SQL Server 2000 और SQL सर्वर डेस्कटॉप इंजन (MSDE) चलाने के लिए Windows XP SP2 फ़ायरवॉल सेटिंग्स कॉन्फ़िगर करना
6. 1C:Enterprise 8.0 सर्वर चलाने के लिए COM+ Windows XP SP2 पैरामीटर कॉन्फ़िगर करना
7. 1C:Enterprise 8.0 सर्वर के लिए Windows XP SP2 फ़ायरवॉल सेटिंग्स कॉन्फ़िगर करना
8. HASP लाइसेंस प्रबंधक के लिए Windows XP SP2 फ़ायरवॉल सेटिंग्स कॉन्फ़िगर करना
9. SQL Server 2000 का उपयोग करके इन्फोबेस की बैकअप प्रतिलिपि बनाना
10. इंस्टॉलेशन और कॉन्फ़िगरेशन समस्याएँ 1C:एंटरप्राइज़ 8.0 "क्लाइंट-सर्वर" संस्करण में(सबसे महत्वपूर्ण लेखों में से एक)
11. 1सी:एंटरप्राइज 8.0 सर्वर स्थापित करते समय विंडोज सर्वर 2003 स्थापित करने की विशेषताएं
12. क्लाइंट-सर्वर संस्करण में सूचना आधार तक उपयोगकर्ता की पहुंच को विनियमित करना(सबसे महत्वपूर्ण लेखों में से एक)
13. सर्वर 1C: एंटरप्राइज़ और SQL सर्वर
14. "क्लाइंट-सर्वर" संस्करण में 1सी:एंटरप्राइज़ 8.0 के लिए विस्तृत इंस्टॉलेशन प्रक्रिया(सबसे महत्वपूर्ण लेखों में से एक)
15. 1C:Enterprise सर्वर पर अंतर्निहित भाषा का उपयोग करना

लेकिन दस्तावेज़ पढ़ते समय, प्राप्त जानकारी के प्रति आलोचनात्मक रहें, उदाहरण के लिए, लेख "क्लाइंट-सर्वर संस्करण में 1C: एंटरप्राइज़ 8.0 को स्थापित करने और कॉन्फ़िगर करने के मुद्दे" उन अधिकारों का सटीक वर्णन नहीं करता है जो उपयोगकर्ता USER1CV8SERVER के लिए आवश्यक हैं। नीचे दी गई सूची के लिंक होंगे, उदाहरण के लिए [ITS1] का अर्थ है लेख "1C:एंटरप्राइज़ सर्वर के साथ काम करने वाले अनुप्रयोगों की विशेषताएं"। लेखों के सभी लिंक लेखन के समय आईटीएस के नवीनतम अंक में दिए गए हैं (जनवरी 2006)

उपयोगकर्ताओं के लिए विंडोज़ प्राधिकरण के साथ संयुक्त प्राधिकरण क्षमताओं का उपयोग करें

दो संभावित उपयोगकर्ता प्राधिकरण मोड में से: अंतर्निहित 1सी और विंडोज ओएस प्राधिकरण के साथ संयुक्त, यदि संभव हो तो, आपको संयुक्त प्राधिकरण चुनना चाहिए। इससे उपयोगकर्ताओं को काम करते समय कई पासवर्ड से भ्रमित नहीं होना पड़ेगा, लेकिन सिस्टम सुरक्षा के स्तर में कमी नहीं आएगी। हालाँकि, उन उपयोगकर्ताओं के लिए भी जो केवल विंडोज़ प्राधिकरण का उपयोग करते हैं, बनाते समय पासवर्ड सेट करना और उसके बाद ही 1सी प्राधिकरण को अक्षम करना अत्यधिक उचित है। उपयोगकर्ता दिया गया. सक्रिय निर्देशिका संरचना के नष्ट होने की स्थिति में सिस्टम पुनर्प्राप्ति सुनिश्चित करने के लिए, कम से कम एक उपयोगकर्ता को छोड़ना आवश्यक है जो 1C प्राधिकरण का उपयोग करके सिस्टम में लॉग इन कर सके।

एप्लिकेशन समाधान भूमिकाएँ बनाते समय, "रिजर्व में" अधिकार न जोड़ें

प्रत्येक एप्लिकेशन समाधान भूमिका को इस भूमिका द्वारा परिभाषित कार्यों को करने के लिए अधिकारों के न्यूनतम आवश्यक सेट को प्रतिबिंबित करना चाहिए। हालाँकि, कुछ भूमिकाओं का स्वतंत्र रूप से उपयोग नहीं किया जा सकता है। उदाहरण के लिए, बाहरी प्रोसेसर को अंतःक्रियात्मक रूप से चलाने के लिए, आप एक अलग भूमिका बना सकते हैं और इसे उन सभी उपयोगकर्ताओं के लिए जोड़ सकते हैं जिन्हें बाहरी प्रोसेसर का उपयोग करने की आवश्यकता है।

लॉग और सिस्टम ऑपरेशन प्रोटोकॉल की नियमित समीक्षा करें

यदि संभव हो, तो लॉग और सिस्टम ऑपरेशन प्रोटोकॉल को देखने को विनियमित और स्वचालित करें। उचित कॉन्फ़िगरेशन और लॉग की नियमित समीक्षा (केवल महत्वपूर्ण घटनाओं द्वारा फ़िल्टरिंग) के साथ, अनधिकृत कार्यों का जल्दी पता लगाया जा सकता है या तैयारी चरण के दौरान उन्हें रोका भी जा सकता है।

क्लाइंट-सर्वर संस्करण की कुछ विशेषताएं

यह अनुभाग क्लाइंट-सर्वर विकल्प की कुछ परिचालन विशेषताओं और सुरक्षा पर उनके प्रभाव का वर्णन करता है। पढ़ने में अधिक आसानी के लिए, निम्नलिखित नोटेशन का उपयोग किया जाता है:

ध्यान! भेद्यता विवरण

ऐसी जानकारी संग्रहीत करना जो सिस्टम तक पहुंच को नियंत्रित करती है

सूचना सुरक्षा उपयोगकर्ताओं की सूची संग्रहीत करना

इस सूचना सुरक्षा के उपयोगकर्ताओं की सूची और इसमें उनके लिए उपलब्ध भूमिकाओं के बारे में सभी जानकारी MS SQL डेटाबेस में पैराम्स तालिका में संग्रहीत है (देखें [ITS2])। इस तालिका की संरचना और सामग्री को देखते हुए, यह स्पष्ट हो जाता है कि सभी उपयोगकर्ता जानकारी फ़ाइल नाम फ़ील्ड मान "users.usr" के साथ एक रिकॉर्ड में संग्रहीत है।

चूँकि हम मानते हैं कि उपयोगकर्ताओं के पास MS SQL डेटाबेस तक पहुँच नहीं है, इस तथ्य का उपयोग किसी हमलावर द्वारा नहीं किया जा सकता है, हालाँकि, यदि MS SQL में कोड निष्पादित करना संभव है, तो यह किसी भी प्राप्त करने के लिए "दरवाजा खोलता है"! ) 1सी से पहुंच। उसी तंत्र (मामूली परिवर्तनों के साथ) का उपयोग सिस्टम के फ़ाइल संस्करण में भी किया जा सकता है, जो फ़ाइल संस्करण की विशेषताओं को ध्यान में रखते हुए, सुरक्षित सिस्टम के निर्माण में इसकी प्रयोज्यता को पूरी तरह से बाहर कर देता है।

सिफारिश:फिलहाल, एमएस एसक्यूएल सर्वर स्तर पर ट्रिगर्स के उपयोग को छोड़कर, एप्लिकेशन को ऐसे परिवर्तनों से पूरी तरह से सुरक्षित रखने का कोई तरीका नहीं है, जो दूसरी ओर, प्लेटफ़ॉर्म संस्करण को अपडेट करते समय या सूची बदलते समय समस्याएं पैदा कर सकता है उपयोगकर्ता. ऐसे परिवर्तनों को ट्रैक करने के लिए, आप 1C लॉग का उपयोग कर सकते हैं (उपयोगकर्ता को निर्दिष्ट किए बिना कॉन्फ़िगरेशन मोड में "संदिग्ध" लॉगिन पर ध्यान दें) या SQL प्रोफाइलर को लगातार चालू रखें (जिसका सिस्टम प्रदर्शन पर बेहद नकारात्मक प्रभाव पड़ेगा) या अलर्ट कॉन्फ़िगर करें तंत्र (संभवतः एक साथ ट्रिगर का उपयोग करते हुए)

सर्वर पर आईएस सूची के बारे में जानकारी संग्रहीत करना

प्रत्येक 1C एप्लिकेशन सर्वर के लिए, उससे जुड़े MS SQL डेटाबेस की सूची के बारे में जानकारी संग्रहीत की जाती है। प्रत्येक इन्फोबेस संचालित करने के लिए एप्लिकेशन सर्वर और MS SQL सर्वर से अपनी स्वयं की कनेक्शन स्ट्रिंग का उपयोग करता है। एप्लिकेशन सर्वर पर पंजीकृत इन्फोबेस के बारे में जानकारी, कनेक्शन स्ट्रिंग्स के साथ, फ़ाइल srvrib.lst में संग्रहीत की जाती है, जो निर्देशिका में सर्वर पर स्थित है<Общие данные приложений>/1C/1Cv8 (उदाहरण के लिए, C:/दस्तावेज़ और सेटिंग्स/सभी उपयोगकर्ता/एप्लिकेशन डेटा/1C/1Cv8/srvrib.lst)। प्रत्येक सूचना सुरक्षा प्रणाली के लिए, मिश्रित MS SQL प्राधिकरण मॉडल का उपयोग करते समय MS SQL उपयोगकर्ता पासवर्ड सहित एक संपूर्ण कनेक्शन स्ट्रिंग संग्रहीत की जाती है। यह इस फ़ाइल की उपस्थिति है जो एमएस एसक्यूएल डेटाबेस तक अनधिकृत पहुंच से डरना संभव बनाती है, और यदि, सिफारिशों के विपरीत, एक विशेषाधिकार प्राप्त उपयोगकर्ता (उदाहरण के लिए, "एसए") का उपयोग कम से कम एक डेटाबेस तक पहुंचने के लिए किया जाता है, तो में एक सूचना सुरक्षा के लिए खतरे के अलावा, MS SQL का उपयोग करने वाले पूरे सिस्टम के लिए भी खतरा है।

यह ध्यान रखना दिलचस्प है कि एमएस एसक्यूएल सर्वर पर मिश्रित प्राधिकरण और विंडोज प्राधिकरण का उपयोग किसी दिए गए फ़ाइल तक पहुंच प्राप्त करते समय विभिन्न प्रकार की समस्याएं पैदा करता है। तो विंडोज़ प्राधिकरण के प्रमुख नकारात्मक गुण होंगे:

• अधिकारों के एक सेट के तहत एप्लिकेशन सर्वर और एमएस एसक्यूएल सर्वर पर सभी सूचना सुरक्षा का संचालन (संभवतः अनावश्यक)
• पासवर्ड निर्दिष्ट किए बिना 1C एप्लिकेशन सर्वर प्रक्रिया से (या सामान्य रूप से उपयोगकर्ता USER1CV8SERVER या इसके समकक्ष से), आप पासवर्ड निर्दिष्ट किए बिना किसी भी सूचना सुरक्षा से आसानी से जुड़ सकते हैं।

दूसरी ओर, किसी हमलावर के लिए निर्दिष्ट फ़ाइल प्राप्त करने की तुलना में उपयोगकर्ता USER1CV8SERVER के संदर्भ से मनमाना कोड निष्पादित करना अधिक कठिन हो सकता है। वैसे, ऐसी फ़ाइल की उपस्थिति सर्वर फ़ंक्शंस को विभिन्न कंप्यूटरों में वितरित करने का एक और तर्क है।

सिफारिश: Srvrib.lst फ़ाइल केवल सर्वर प्रक्रिया द्वारा ही पहुंच योग्य होनी चाहिए। इस फ़ाइल को बदलने के लिए ऑडिटिंग कॉन्फ़िगर करना सुनिश्चित करें।

दुर्भाग्य से, डिफ़ॉल्ट रूप से यह फ़ाइल पढ़ने से लगभग सुरक्षित नहीं है, जिसे सिस्टम को तैनात करते समय ध्यान में रखा जाना चाहिए। एप्लिकेशन सर्वर के लिए आदर्श विकल्प यह होगा कि वह चलते समय इस फ़ाइल को पढ़ने और लिखने से रोक सके (इस सर्वर पर चल रहे उपयोगकर्ता कनेक्शन द्वारा पढ़ने और लिखने सहित)।

सर्वर पर सूचना सुरक्षा बनाते समय प्राधिकरण का अभाव

ध्यान! 1C:एंटरप्राइज़ प्लेटफ़ॉर्म के रिलीज़ 8.0.14 में प्राधिकरण त्रुटि की कमी को ठीक किया गया था। इस रिलीज़ में, "1C:एंटरप्राइज़ सर्वर एडमिनिस्ट्रेटर" की अवधारणा सामने आई, लेकिन जब तक सर्वर पर प्रशासकों की सूची निर्दिष्ट है, सिस्टम नीचे बताए अनुसार संचालित होता है, इसलिए इस संभावित सुविधा के बारे में न भूलें।

संभवतः इस अनुभाग की सबसे बड़ी भेद्यता एप्लिकेशन सर्वर में लगभग असीमित रूप से सूचना सुरक्षा जोड़ने की क्षमता है, जिसके परिणामस्वरूप कोई भी उपयोगकर्ता जो एप्लिकेशन सर्वर से कनेक्शन तक पहुंच प्राप्त करता है, उसे स्वचालित रूप से एप्लिकेशन सर्वर पर मनमाना कोड चलाने की क्षमता मिलती है। . आइए इसे एक उदाहरण से देखें.

सिस्टम को निम्नानुसार स्थापित किया जाना चाहिए

• MS SQL सर्वर 2000 (उदाहरण के लिए, नेटवर्क नाम SRV1)
• सर्वर 1C:एंटरप्राइज़ 8.0 (नेटवर्क नाम SRV2)
• क्लाइंट भाग 1C:एंटरप्राइज़ 8.0 (नेटवर्क नाम WS)

यह माना जाता है कि WS पर काम करने वाले उपयोगकर्ता (इसके बाद USER के रूप में संदर्भित) के पास SRV2 पर पंजीकृत सूचना सुरक्षा प्रणालियों में से एक तक कम से कम पहुंच है, लेकिन SRV1 और SRV2 तक विशेषाधिकार प्राप्त पहुंच नहीं है। सामान्य तौर पर, सूचीबद्ध कंप्यूटरों के कार्यों का संयोजन स्थिति को प्रभावित नहीं करता है। सिस्टम को दस्तावेज़ीकरण और आईटीएस डिस्क पर सिफारिशों को ध्यान में रखते हुए कॉन्फ़िगर किया गया था। स्थिति चित्र में दिखाई गई है। 2.

• एप्लिकेशन सर्वर पर COM+ सुरक्षा कॉन्फ़िगर करें ताकि केवल 1C उपयोगकर्ताओं को एप्लिकेशन सर्वर प्रक्रिया से जुड़ने का अधिकार हो (अधिक विवरण [ITS12]);
• srvrib.lst फ़ाइल उपयोगकर्ता USER1CV8SERVER के लिए केवल पढ़ने योग्य होनी चाहिए (सर्वर में एक नई सूचना सुरक्षा जोड़ने के लिए, अस्थायी रूप से लिखने की अनुमति दें);
• MS SQL से कनेक्ट करने के लिए, केवल TCP/IP प्रोटोकॉल का उपयोग करें, इस स्थिति में आप यह कर सकते हैं:
  • फ़ायरवॉल का उपयोग करके कनेक्शन प्रतिबंधित करें;
  • एक गैर-मानक टीसीपी पोर्ट के उपयोग को कॉन्फ़िगर करें, जो "बाहरी लोगों" आईबी 1सी के कनेक्शन को जटिल बना देगा;
  • एप्लिकेशन सर्वर और SQL सर्वर के बीच प्रेषित डेटा के एन्क्रिप्शन का उपयोग करें;
• सर्वर फ़ायरवॉल को कॉन्फ़िगर करें ताकि तृतीय-पक्ष MS SQL सर्वर का उपयोग असंभव हो;
• स्थानीय नेटवर्क (आईपीएसईसी, समूह सुरक्षा नीतियां, फ़ायरवॉल, आदि) पर अनधिकृत कंप्यूटर के प्रदर्शित होने की संभावना को बाहर करने के लिए इंट्रानेट सुरक्षा उपकरणों का उपयोग करें;
• किसी भी परिस्थिति में उपयोगकर्ता को एप्लिकेशन सर्वर पर USER1CV8SERVER प्रशासनिक अधिकार न दें।

सर्वर पर चल रहे कोड का उपयोग करना

1C के क्लाइंट-सर्वर संस्करण का उपयोग करते समय, डेवलपर क्लाइंट और एप्लिकेशन सर्वर के बीच कोड निष्पादन वितरित कर सकता है। कोड (प्रक्रिया या फ़ंक्शन) को केवल सर्वर पर निष्पादित करने के लिए, इसे एक सामान्य मॉड्यूल में रखना आवश्यक है जिसके लिए "सर्वर" संपत्ति सेट की गई है और, उस स्थिति में जब मॉड्यूल निष्पादन की अनुमति न केवल सर्वर पर दी जाती है सर्वर, कोड को प्रतिबंधित अनुभाग "#यदि सर्वर " में रखें:

#अगर सर्वर तो
फ़ंक्शन ऑनसर्वर(परम1, पैरा2 = 0) निर्यात // यह फ़ंक्शन, अपनी सरलता के बावजूद, सर्वर पर निष्पादित होता है
परम1 = परम1 + 12;
वापसी परम1;
अंतकार्य
#समाप्तयदि

सर्वर पर चलने वाले कोड का उपयोग करते समय, आपको इसे ध्यान में रखना होगा:

• कोड एप्लिकेशन सर्वर पर USER1CV8SERVER अधिकारों के साथ चलता है (COM ऑब्जेक्ट और सर्वर फ़ाइलें उपलब्ध हैं);
• सभी उपयोगकर्ता सत्र सेवा के एक उदाहरण द्वारा निष्पादित किए जाते हैं, इसलिए, उदाहरण के लिए, सर्वर पर स्टैक ओवरफ्लो के कारण सभी सक्रिय उपयोगकर्ता डिस्कनेक्ट हो जाएंगे;
• सर्वर मॉड्यूल को डिबग करना कठिन है (उदाहरण के लिए, आप डिबगर में ब्रेकप्वाइंट सेट नहीं कर सकते), लेकिन किया जाना चाहिए;
• क्लाइंट से एप्लिकेशन सर्वर और बैक पर नियंत्रण स्थानांतरित करने के लिए बड़ी मात्रा में स्थानांतरित पैरामीटर के साथ महत्वपूर्ण संसाधनों की आवश्यकता हो सकती है;
• इंटरैक्टिव टूल (फॉर्म, स्प्रेडशीट दस्तावेज़, डायलॉग बॉक्स), बाहरी रिपोर्ट और एप्लिकेशन सर्वर पर कोड में प्रोसेसिंग का उपयोग असंभव है;
• वैश्विक चर ("निर्यात" संकेत के साथ घोषित एप्लिकेशन मॉड्यूल चर) के उपयोग की अनुमति नहीं है;

अधिक विवरण के लिए, [आईटीएस15] और अन्य आईटीएस लेख देखें।

एप्लिकेशन सर्वर में विशेष विश्वसनीयता आवश्यकताएँ होनी चाहिए। उचित रूप से निर्मित क्लाइंट-सर्वर सिस्टम में, निम्नलिखित शर्तों को पूरा किया जाना चाहिए:

• क्लाइंट एप्लिकेशन की कोई भी कार्रवाई सर्वर के संचालन को बाधित नहीं करनी चाहिए (प्रशासनिक मामलों को छोड़कर);
• सर्वर क्लाइंट से प्राप्त प्रोग्राम कोड निष्पादित नहीं कर सकता;
• संसाधनों को क्लाइंट कनेक्शनों में "उचित" रूप से वितरित किया जाना चाहिए, जिससे वर्तमान लोड की परवाह किए बिना सर्वर की उपलब्धता सुनिश्चित हो सके;
• डेटा ब्लॉकिंग के अभाव में, क्लाइंट कनेक्शन एक-दूसरे के काम को प्रभावित नहीं करना चाहिए;
• सर्वर में उपयोगकर्ता इंटरफ़ेस नहीं है, लेकिन निगरानी और लॉगिंग उपकरण विकसित किए जाने चाहिए;

सामान्य तौर पर, 1सी सिस्टम इस तरह से बनाया गया है कि यह इन आवश्यकताओं के करीब आ सके (उदाहरण के लिए, सर्वर पर बाहरी प्रसंस्करण को मजबूर करना असंभव है), लेकिन कई अप्रिय विशेषताएं अभी भी मौजूद हैं, इसलिए:

सिफारिश:रनटाइम सर्वर विकसित करते समय, न्यूनतम इंटरफ़ेस के सिद्धांत का पालन करने की अनुशंसा की जाती है। वे। क्लाइंट एप्लिकेशन से सर्वर मॉड्यूल में प्रविष्टियों की संख्या बहुत सीमित होनी चाहिए, और मापदंडों को सख्ती से विनियमित किया जाना चाहिए। सिफारिश:सर्वर पर प्रक्रियाओं और कार्यों के पैरामीटर प्राप्त करते समय, पैरामीटर को मान्य करना आवश्यक है (जांचें कि पैरामीटर अपेक्षित प्रकार और मानों की सीमा के अनुरूप हैं)। यह मानक समाधानों में नहीं किया जाता है, लेकिन अपने स्वयं के विकास में अनिवार्य सत्यापन शुरू करना अत्यधिक वांछनीय है। सिफारिश:सर्वर साइड पर अनुरोध टेक्स्ट (और विशेष रूप से रन कमांड पैरामीटर) उत्पन्न करते समय, क्लाइंट एप्लिकेशन से प्राप्त स्ट्रिंग्स का उपयोग न करें।

एक सामान्य सिफ़ारिश यह होगी कि आप स्वयं को सुरक्षित निर्माण के सिद्धांतों से परिचित करा लें वेब-डेटाबेस एप्लिकेशन और समान सिद्धांतों पर काम करते हैं। समानताएं वास्तव में काफी हैं: सबसे पहले, एक वेब एप्लिकेशन की तरह, एक एप्लिकेशन सर्वर भी होता है मध्यवर्ती परतडेटाबेस और उपयोगकर्ता इंटरफ़ेस के बीच (मुख्य अंतर यह है कि वेब सर्वर उपयोगकर्ता इंटरफ़ेस उत्पन्न करता है); दूसरे, सुरक्षा की दृष्टि से आप क्लाइंट से प्राप्त डेटा पर भरोसा नहीं कर सकते, क्योंकि बाहरी रिपोर्ट और प्रसंस्करण लॉन्च करना संभव है।

पासिंग पैरामीटर

सर्वर पर निष्पादित किसी फ़ंक्शन (प्रक्रिया) में पैरामीटर पास करना एक नाजुक मुद्दा है। यह मुख्य रूप से एप्लिकेशन सर्वर और क्लाइंट प्रक्रियाओं के बीच उन्हें स्थानांतरित करने की आवश्यकता के कारण है। जब नियंत्रण क्लाइंट साइड से सर्वर साइड तक जाता है, तो सभी प्रेषित पैरामीटर क्रमबद्ध होते हैं, सर्वर पर स्थानांतरित होते हैं, जहां उन्हें "अनपैक" किया जाता है और उपयोग किया जाता है। सर्वर साइड से क्लाइंट साइड पर जाने पर प्रक्रिया उलट जाती है। यहां यह ध्यान दिया जाना चाहिए कि यह योजना संदर्भ और मूल्य द्वारा पासिंग पैरामीटर को सही ढंग से संभालती है। पैरामीटर पास करते समय, निम्नलिखित प्रतिबंध लागू होते हैं:

• केवल गैर-परिवर्तनीय मान (अर्थात, जिनके मान बदले नहीं जा सकते) को क्लाइंट और सर्वर (दोनों दिशाओं में) के बीच स्थानांतरित किया जा सकता है: आदिम प्रकार, संदर्भ, सार्वभौमिक संग्रह, सिस्टम गणना मान, मूल्य भंडारण। यदि आप कुछ और पास करने का प्रयास करते हैं, तो क्लाइंट एप्लिकेशन क्रैश हो जाता है (भले ही सर्वर गलत पैरामीटर पास करने का प्रयास करता हो)।
• पैरामीटर पास करते समय बड़ी मात्रा में डेटा स्थानांतरित करने की अनुशंसा नहीं की जाती है (उदाहरण के लिए, 1 मिलियन से अधिक वर्णों की स्ट्रिंग), इससे सर्वर प्रदर्शन पर नकारात्मक प्रभाव पड़ सकता है।
• आप सर्वर से क्लाइंट और वापस दोनों तरफ चक्रीय संदर्भ वाले पैरामीटर पास नहीं कर सकते। यदि आप ऐसे पैरामीटर को पास करने का प्रयास करते हैं, तो क्लाइंट एप्लिकेशन क्रैश हो जाता है (भले ही सर्वर गलत पैरामीटर को पास करने का प्रयास करता हो)।
• बहुत जटिल डेटा संग्रह को स्थानांतरित करने की अनुशंसा नहीं की जाती है। जब आप बहुत बड़े नेस्टिंग स्तर के साथ एक पैरामीटर पास करने का प्रयास करते हैं, तो सर्वर क्रैश हो जाता है (!)।

ध्यान! इस समय सबसे कष्टप्रद विशेषता संभवतः मूल्यों के जटिल संग्रह को पारित करने में त्रुटि है। तो, उदाहरण के लिए, कोड: नेस्टिंग स्तर = 1250;
एम = नई सरणी;
उत्तीर्ण पैरामीटर = एम;
खाते के लिए = 1 नेस्टिंग चक्र के स्तर के अनुसार
एमवीइंट = नई सरणी;
एम.एड(एमवीइंट);
एम = एमविंट;
अंतचक्र;
सर्वरफ़ंक्शन (उत्तीर्ण पैरामीटर);

सभी उपयोगकर्ताओं के डिस्कनेक्शन के साथ सर्वर का आपातकालीन ठहराव होता है, और यह अंतर्निहित भाषा में कोड पर नियंत्रण स्थानांतरित होने से पहले होता है।

सर्वर साइड पर असुरक्षित फ़ंक्शंस का उपयोग करना।

एप्लिकेशन सर्वर पर निष्पादित कोड में सभी अंतर्निहित भाषा टूल का उपयोग नहीं किया जा सकता है, लेकिन उपलब्ध टूल में भी कई "समस्याग्रस्त" संरचनाएं हैं जिन्हें मोटे तौर पर निम्नानुसार वर्गीकृत किया जा सकता है:

• कॉन्फ़िगरेशन ("कोड निष्पादन" समूह) में शामिल नहीं कोड को निष्पादित करने की क्षमता प्रदान करने में सक्षम
• क्लाइंट एप्लिकेशन को उपयोगकर्ता की फ़ाइल और ऑपरेटिंग सिस्टम के बारे में जानकारी प्रदान करने या डेटा के साथ काम करने से संबंधित कार्यों को करने में सक्षम ("अधिकारों का उल्लंघन")
• सर्वर क्रैश करने या बहुत बड़े संसाधनों ("सर्वर क्रैश" समूह) का उपयोग करने में सक्षम
• क्लाइंट विफलता (क्लाइंट विफलता समूह) का कारण बनने में सक्षम - इस प्रकार पर विचार नहीं किया जाता है। उदाहरण: सर्वर पर एक परिवर्तनीय मान पास करना।
• प्रोग्रामिंग एल्गोरिदम में त्रुटियां (अंतहीन लूप, असीमित रिकर्सन, आदि) ("प्रोग्रामिंग त्रुटियां")

मुझे ज्ञात मुख्य समस्याग्रस्त डिज़ाइन (उदाहरण सहित) नीचे सूचीबद्ध हैं:

प्रक्रिया निष्पादन(<Строка>)

कोड निष्पादित करना.आपको कोड के एक टुकड़े को निष्पादित करने की अनुमति देता है जो इसे एक स्ट्रिंग मान के रूप में पास किया जाता है। सर्वर पर उपयोग करते समय, आपको यह सुनिश्चित करना होगा कि क्लाइंट से प्राप्त डेटा को पैरामीटर के रूप में उपयोग नहीं किया जाता है। उदाहरण के लिए, निम्नलिखित उपयोग की अनुमति नहीं है:

#अगर सर्वर तो
प्रोसीजरऑनसर्वर(Param1) निर्यात
निष्पादित(Param1);
प्रक्रिया का अंत
#समाप्तयदि

"COMObject" टाइप करें (कन्स्ट्रक्टर नया COMObject(<Имя>, <Имя сервера>))

एप्लिकेशन सर्वर (या अन्य निर्दिष्ट कंप्यूटर) पर USER1CV8SERVER अधिकारों के साथ एक बाहरी एप्लिकेशन COM ऑब्जेक्ट बनाता है। सर्वर पर उपयोग करते समय, सुनिश्चित करें कि पैरामीटर क्लाइंट एप्लिकेशन से पारित नहीं किए गए हैं। हालाँकि, सर्वर साइड पर आयात/निर्यात करते समय, इंटरनेट पर डेटा भेजते समय, गैर-मानक कार्यों को लागू करते समय इस सुविधा का उपयोग करना प्रभावी है।

फ़ंक्शन GetCOMObject(<Имя файла>, <Имя класса COM>)

अधिकारों का उल्लंघन और कोड निष्पादन।पिछले वाले के समान, केवल फ़ाइल के अनुरूप COM ऑब्जेक्ट प्राप्त करना।

प्रक्रियाएं और कार्य

अधिकारों का हनन.उन्हें सर्वर पर निष्पादित करके, वे आपको सर्वर सबसिस्टम के संगठन का विवरण जानने की अनुमति देते हैं। सर्वर पर उपयोग करते समय, सुनिश्चित करें कि डेटा या तो क्लाइंट को स्थानांतरित नहीं किया गया है या उचित अनुमति के बिना ऑपरेटरों के लिए पहुंच योग्य नहीं है। इस तथ्य पर विशेष ध्यान दें कि डेटा को संदर्भ द्वारा पारित पैरामीटर में वापस पारित किया जा सकता है।

फ़ाइलों (कॉपीफ़ाइल, फाइंडफ़ाइल्स, मर्जफ़ाइल्स और कई अन्य) के साथ काम करने की प्रक्रियाएँ और कार्य, साथ ही फ़ाइल प्रकार।

अधिकारों का हनन.उन्हें सर्वर पर निष्पादित करके, प्राप्त करने की अनुमति देता है सामान्य पहुंचउपयोगकर्ता अधिकारों USER1CV8SERVER के तहत पहुंच योग्य स्थानीय (और नेटवर्क) फ़ाइलें। यदि सचेत रूप से उपयोग किया जाए, तो सर्वर पर डेटा आयात/निर्यात जैसे कार्यों को प्रभावी ढंग से कार्यान्वित करना संभव है।

इन फ़ंक्शंस का उपयोग करने से पहले अपने 1सी उपयोगकर्ता अधिकारों की जांच करना सुनिश्चित करें। उपयोगकर्ता अधिकारों की जांच करने के लिए, आप सर्वर मॉड्यूल में निम्नलिखित निर्माण का उपयोग कर सकते हैं:

#अगर सर्वर तो
प्रक्रिया PerformanceWorkWithFile() निर्यात
रोलएडमिनिस्ट्रेटर = मेटाडेटा.रोल्स.एडमिनिस्ट्रेटर;
उपयोगकर्ता = सत्र पैरामीटर्स.वर्तमान उपयोगकर्ता;
यदि User.Roles.Contains(RoleAdministrator) तो
//फ़ाइलों के साथ काम करने के लिए कोड यहां निष्पादित किया गया है
अंतयदि;
#समाप्तयदि

यदि आप इन प्रक्रियाओं और कार्यों का उपयोग करते हैं तो मापदंडों की जांच करना सुनिश्चित करें, अन्यथा गलती से या जानबूझकर 1C एप्लिकेशन सर्वर को अपूरणीय क्षति होने का जोखिम है, उदाहरण के लिए, सर्वर पर निम्नलिखित कोड निष्पादित करते समय:

पथ = "C:\दस्तावेज़ और सेटिंग्स\सभी उपयोगकर्ता\एप्लिकेशन डेटा\1C\1Cv8\";
MoveFile(पथ + "srvrib.lst", पथ + "Here'swhereTheFileGoes");

सर्वर पर ऐसे कोड को निष्पादित करने के बाद, यदि उपयोगकर्ता USER1CV8SERVER के पास इसे बदलने का अधिकार है, जैसा कि ऊपर वर्णित है, और सर्वर प्रक्रिया को पुनरारंभ करने के बाद (डिफ़ॉल्ट रूप से, सभी उपयोगकर्ताओं के बाहर निकलने के 3 मिनट बाद), सर्वर शुरू करने के बारे में एक बड़ा सवाल उठेगा . लेकिन फ़ाइलों को पूरी तरह से हटाना भी संभव है...

प्रकार "XBase", "बाइनरीडेटा", "XML रीडर", "XML राइटर", "XSL ट्रांसफ़ॉर्मेशन", "ज़िपफ़ाइल राइटर", "ज़िपफ़ाइल रीडर", "टेक्स्ट रीडर", "टेक्स्ट राइटर"

अधिकारों का हनन.वे सर्वर पर निष्पादित करके, कुछ प्रकार की स्थानीय (और नेटवर्क पर स्थित) फ़ाइलों तक पहुंच की अनुमति देते हैं और उपयोगकर्ता अधिकार USER1CV8SERVER के तहत उन्हें पढ़ने/लिखने की अनुमति देते हैं। यदि सचेत रूप से उपयोग किया जाए, तो सर्वर पर डेटा आयात/निर्यात करने, कुछ कार्यों के संचालन को लॉग करने और प्रशासनिक कार्यों को हल करने जैसे कार्यों को प्रभावी ढंग से कार्यान्वित करना संभव है। सामान्य तौर पर, सिफारिशें पिछले पैराग्राफ से मेल खाती हैं, लेकिन आपको क्लाइंट और सर्वर भागों के बीच इन फ़ाइलों (लेकिन इन सभी प्रकार की वस्तुओं नहीं) से डेटा स्थानांतरित करने की संभावना पर विचार करना चाहिए।

"सिस्टम सूचना" टाइप करें

अधिकारों का हनन.एप्लिकेशन के क्लाइंट भाग में डेटा के गलत उपयोग और हस्तांतरण के मामले में, आप एप्लिकेशन सर्वर के बारे में डेटा प्राप्त कर सकते हैं। उपयोग करते समय उपयोग के अधिकार को सीमित करने की सलाह दी जाती है।

प्रकार "इंटरनेटकनेक्शन", "इंटरनेटमेल", "इंटरनेटप्रॉक्सी", "HTTPConnection", "FTPConnection"

अधिकारों का हनन.जब किसी सर्वर पर उपयोग किया जाता है, तो यह USER1CV8SERVER अधिकारों के तहत एक एप्लिकेशन सर्वर से एक दूरस्थ पीसी से कनेक्ट होता है।

• सिफ़ारिशें:
• विधियों को कॉल करते समय मापदंडों का नियंत्रण।
• 1सी उपयोगकर्ता अधिकारों का नियंत्रण।
• नेटवर्क तक पहुँचने के लिए उपयोगकर्ता USER1CV8SERVER के अधिकारों पर गंभीर प्रतिबंध।सही सेटिंग

1C एप्लिकेशन सर्वर पर फ़ायरवॉल।

जब सही ढंग से उपयोग किया जाता है, तो इसे व्यवस्थित करना सुविधाजनक होता है, उदाहरण के लिए, किसी एप्लिकेशन सर्वर से ईमेल भेजना।

अधिकारों का हनन.प्रकार "InformationBaseUserManager", "InformationBaseUser"

यदि गलत तरीके से (विशेषाधिकार प्राप्त मॉड्यूल में) उपयोग किया जाता है, तो उपयोगकर्ताओं को जोड़ना या मौजूदा उपयोगकर्ताओं के प्राधिकरण मापदंडों को बदलना संभव है।

फ़ंक्शन प्रारूपहाँ! यह प्रतीत होता है कि हानिरहित फ़ंक्शन, यदि इसके मापदंडों को सर्वर पर नियंत्रित और निष्पादित नहीं किया जाता है, तो सर्वर एप्लिकेशन क्रैश हो सकता है। उदाहरण के लिए, संख्याओं को फ़ॉर्मेट करते समय और अग्रणी शून्य और बड़ी संख्या में वर्ण प्रदर्शित करने के लिए मोड का उपयोग करते समय त्रुटि दिखाई देती है

प्रारूप(1, "सीएचजेड=999; सीएचवीएन=');

मुझे उम्मीद है कि इस त्रुटि को अगले प्लेटफ़ॉर्म रिलीज़ में ठीक कर दिया जाएगा, लेकिन इस बीच, इस फ़ंक्शन के सभी कॉल में जिन्हें सर्वर पर निष्पादित किया जा सकता है, कॉल पैरामीटर की जांच करें।

मूल्यों को सहेजने की प्रक्रियाएँ और कार्य (ValueInRowInt, ValueInFile)

फ़ंक्शन प्रारूपये फ़ंक्शंस संग्रह में गोलाकार संदर्भों या बहुत गहरे नेस्टिंग को संभाल नहीं पाते हैं, इसलिए वे कुछ विशेष मामलों में क्रैश हो सकते हैं।

कार्यों में सीमा और विशेष पैरामीटर मानों में त्रुटियाँ। निष्पादन नियंत्रण.

सर्वर का उपयोग करते समय आपके सामने आने वाली समस्याओं में से एक सर्वर फ़ंक्शंस की उच्च "जिम्मेदारी" है (एक कनेक्शन में त्रुटि के कारण संपूर्ण सर्वर एप्लिकेशन के क्रैश होने की संभावना और सभी कनेक्शनों के लिए एक "संसाधन स्थान" का उपयोग) . इसलिए मुख्य रनटाइम मापदंडों को नियंत्रित करने की आवश्यकता है:

• अंतर्निहित भाषा फ़ंक्शंस के लिए, उनके लॉन्च पैरामीटर जांचें (एक अच्छा उदाहरण "फ़ॉर्मेट" फ़ंक्शन है)
• लूप का उपयोग करते समय, सुनिश्चित करें कि लूप निकास स्थिति संतुष्ट है। यदि लूप संभावित रूप से अनंत है, तो कृत्रिम रूप से पुनरावृत्तियों की संख्या सीमित करें: मैक्सिममइटरेशनकाउंटरवैल्यू = 1000000;
  पुनरावृत्ति काउंटर = 1;
  अलविदा
  FunctionWhitchmayNotReturnFalseValue()
  और (पुनरावृत्ति गणना<МаксимальноеЗначениеСчетчикаИтераций) Цикл

  //.... लूप का शरीर
  पुनरावर्तन गणक = पुनरावर्तन गणक + 1;
  अंतचक्र;
  यदि पुनरावृत्ति काउंटर>पुनरावृत्ति काउंटर का अधिकतम मान
  //.... अत्यधिक लंबे लूप निष्पादन की घटना को संभालें
  अंतयदि;

• रिकर्सन का उपयोग करते समय, अधिकतम नेस्टिंग स्तर को सीमित करें।
• क्वेरी बनाते और निष्पादित करते समय, बहुत लंबे चयन और बड़ी मात्रा में जानकारी के चयन को रोकने का प्रयास करें (उदाहरण के लिए, "इन पदानुक्रम" स्थिति का उपयोग करते समय, खाली मान का उपयोग न करें)
• सूचना आधार डिज़ाइन करते समय, संख्याओं के लिए बिट गहराई का पर्याप्त बड़ा रिज़र्व प्रदान करें (अन्यथा जोड़ और गुणा गैर-कम्यूटेटिव और गैर-सहयोगी हो जाते हैं, जिससे डिबगिंग मुश्किल हो जाती है)
• निष्पादन योग्य प्रश्नों में, NULL मानों की उपस्थिति और NULL का उपयोग करके क्वेरी स्थितियों और अभिव्यक्तियों के सही संचालन के लिए ऑपरेशन तर्क की जाँच करें।
• संग्रह का उपयोग करते समय, उन्हें एप्लिकेशन सर्वर और क्लाइंट पक्ष के बीच स्थानांतरित करने की क्षमता को नियंत्रित करें।

पहुंच को प्रतिबंधित करने के लिए क्लाइंट पक्ष तक टर्मिनल पहुंच का उपयोग करना

आप अक्सर डेटा तक पहुंच सीमित करने और टर्मिनल सर्वर पर क्लाइंट-साइड कोड निष्पादित करके प्रदर्शन में सुधार करने के लिए टर्मिनल एक्सेस का उपयोग करने की सिफारिशें पा सकते हैं। हां, यदि सही तरीके से कॉन्फ़िगर किया गया है, तो टर्मिनल एक्सेस का उपयोग वास्तव में सिस्टम सुरक्षा के समग्र स्तर को बढ़ा सकता है, लेकिन, दुर्भाग्य से, आप अक्सर इस तथ्य का सामना कर सकते हैं कि व्यावहारिक उपयोग के साथ, सिस्टम की सुरक्षा केवल कम हो जाती है। आइए जानने की कोशिश करें कि इसका संबंध किससे है। अब टर्मिनल एक्सेस को व्यवस्थित करने के दो सामान्य साधन हैं, ये माइक्रोसॉफ्ट टर्मिनल सर्विसेज (आरडीपी प्रोटोकॉल) और सिट्रिक्स मेटाफ्रेम सर्वर (आईसीए प्रोटोकॉल) हैं। सामान्य तौर पर, Citrix उपकरण अधिक लचीले एक्सेस प्रशासन विकल्प प्रदान करते हैं, लेकिन इन समाधानों की कीमत बहुत अधिक है। हम केवल दोनों प्रोटोकॉल में समान बुनियादी सुविधाओं पर विचार करेंगे जो सुरक्षा के समग्र स्तर को कम कर सकते हैं। टर्मिनल एक्सेस का उपयोग करते समय केवल तीन मुख्य खतरे हैं:

• अत्यधिक मात्रा में संसाधनों को जब्त करके अन्य उपयोगकर्ताओं के काम को अवरुद्ध करने की क्षमता
• अन्य उपयोगकर्ताओं के डेटा तक पहुंच.
• टर्मिनल सर्वर से उपयोगकर्ता के कंप्यूटर पर डेटा की अनधिकृत प्रतिलिपि बनाना

किसी भी स्थिति में, टर्मिनल सेवाएँ आपको इसकी अनुमति देती हैं:

• परिचालन विश्वसनीयता बढ़ाएँ (यदि टर्मिनल कंप्यूटर विफल हो जाता है, तो उपयोगकर्ता बाद में उसी स्थान से काम करना जारी रख सकता है)
• क्लाइंट एप्लिकेशन और उसके द्वारा सहेजी गई फ़ाइलों तक पहुंच प्रतिबंधित करें।
• कंप्यूटिंग लोड को उपयोगकर्ता के वर्कस्टेशन से टर्मिनल एक्सेस सर्वर पर स्थानांतरित करें
• सिस्टम सेटिंग्स को अधिक केंद्रीय रूप से प्रबंधित करें। उपयोगकर्ताओं के लिए, सहेजी गई सेटिंग्स मान्य होंगी, भले ही उन्होंने किस कंप्यूटर से सिस्टम में लॉग इन किया हो।
• कुछ मामलों में, आप सिस्टम तक दूरस्थ पहुंच के लिए टर्मिनल समाधान का उपयोग कर सकते हैं।

एक उपयोगकर्ता के लिए टर्मिनल सर्वर से संभावित कनेक्शन की संख्या को सीमित करना आवश्यक है

संसाधनों के संबंध में 1सी क्लाइंट एप्लिकेशन की "लोलुपता" के कारण इसे सीमित करना आवश्यक है अधिकतम मात्राटर्मिनल सर्वर से एक उपयोगकर्ता (ऑपरेटर) का एक साथ कनेक्शन। सक्रिय रूप से उपयोग किया जाने वाला कनेक्शन एप्लिकेशन के केवल एक उदाहरण के साथ 300 एमबी तक मेमोरी का उपयोग कर सकता है। मेमोरी के अलावा, सीपीयू समय का सक्रिय रूप से उपयोग किया जाता है, जो इस सर्वर के उपयोगकर्ताओं की स्थिरता में भी योगदान नहीं देता है। सर्वर संसाधनों के अत्यधिक उपयोग को रोकने के साथ-साथ, इस तरह का प्रतिबंध किसी और के खाते का उपयोग करने से रोक सकता है। मानक टर्मिनल सर्वर सेटिंग्स द्वारा कार्यान्वित।

आपको एक कनेक्शन में एक या दो से अधिक 1C क्लाइंट एप्लिकेशन को एक साथ चलने की अनुमति नहीं देनी चाहिए

पिछले पैराग्राफ के समान कारणों से निर्धारित, लेकिन तकनीकी रूप से इसे लागू करना अधिक कठिन है। समस्या यह है कि टर्मिनल सर्वर टूल्स (क्यों नीचे बताया जाएगा) का उपयोग करके 1C को पुनरारंभ होने से रोकना लगभग असंभव है, इसलिए आपको इस सुविधा को एप्लिकेशन समाधान के स्तर पर लागू करना होगा (जो कि एक अच्छा समाधान भी नहीं है, क्योंकि सत्र कुछ समय के लिए "लटके" रह सकते हैं यदि एप्लिकेशन गलत तरीके से समाप्त हो गया है, तो एप्लिकेशन मॉड्यूल और कुछ संदर्भ पुस्तकों में एप्लिकेशन समाधान को परिष्कृत करने की आवश्यकता है, जो 1C से अपडेट के उपयोग को जटिल बना देगा)। उपयोगकर्ता को पृष्ठभूमि में कुछ क्रियाएं (उदाहरण के लिए, रिपोर्ट तैयार करना) चलाने में सक्षम होने के लिए 2 एप्लिकेशन चलाने की क्षमता छोड़ना अत्यधिक वांछनीय है - क्लाइंट एप्लिकेशन, दुर्भाग्य से, वास्तव में सिंगल-थ्रेडेड है।

उन उपयोगकर्ताओं को टर्मिनल सर्वर तक पहुंच अधिकार देने की अनुशंसा नहीं की जाती है जिनके पास 1C में संसाधन-गहन कंप्यूटिंग कार्यों को चलाने या अन्य उपयोगकर्ताओं के सक्रिय रूप से काम करने के दौरान ऐसी लॉन्चिंग को रोकने का अधिकार है।

बेशक, तक पहुंच टर्मिनल सर्वरइसे केवल उन उपयोगकर्ताओं के लिए छोड़ना बेहतर है जो डेटा खनन, भौगोलिक आरेख, आयात/निर्यात और अन्य कार्यों जैसे कार्यों का उपयोग नहीं करते हैं जो एप्लिकेशन के क्लाइंट भाग को गंभीरता से लोड करते हैं। यदि अभी भी ऐसे कार्यों को हल करने की आवश्यकता है, तो यह आवश्यक है: उपयोगकर्ता को सूचित करें कि ये कार्य अन्य उपयोगकर्ताओं के प्रदर्शन को प्रभावित कर सकते हैं, लॉग में ऐसी प्रक्रिया की शुरुआत और अंत की घटना को रिकॉर्ड करें, केवल निष्पादन की अनुमति दें एक विनियमित समय पर, आदि

यह सुनिश्चित करना आवश्यक है कि प्रत्येक उपयोगकर्ता के पास टर्मिनल सर्वर पर केवल कड़ाई से परिभाषित निर्देशिकाओं के लिए लिखने का अधिकार है और अन्य उपयोगकर्ताओं के पास उन तक पहुंच नहीं है।

सबसे पहले, यदि आप साझा निर्देशिकाओं (जैसे वह निर्देशिका जहां 1C स्थापित है) में लिखने की क्षमता को सीमित नहीं करते हैं, तो एक हमलावर के लिए सभी उपयोगकर्ताओं के लिए प्रोग्राम के व्यवहार को बदलना संभव रहता है। दूसरे, एक उपयोगकर्ता का डेटा (अस्थायी फ़ाइलें, रिपोर्ट सेटिंग्स सहेजने के लिए फ़ाइलें, आदि) किसी भी परिस्थिति में टर्मिनल सर्वर के दूसरे उपयोगकर्ता के लिए पहुंच योग्य नहीं होना चाहिए - सामान्य तौर पर, सामान्य कॉन्फ़िगरेशन के दौरान, इस नियम का पालन किया जाता है। तीसरा, हमलावर के पास अभी भी विभाजन को "कूड़ा" करने का अवसर है ताकि हार्ड ड्राइव पर कोई जगह न बचे। मैं जानता हूं कि वे मुझ पर आपत्ति जताएंगे कि विंडोज 2000 से शुरू होने वाले विंडोज ऑपरेटिंग सिस्टम में एक कोटा तंत्र है, लेकिन यह एक महंगा तंत्र है, और मैंने व्यावहारिक रूप से इसका कोई वास्तविक उपयोग कभी नहीं देखा है।

यदि पहुंच स्थापित करने के पिछले मुद्दों को आम तौर पर लागू करना काफी आसान होता, तो यह (ऐसा प्रतीत होता) सरल कार्य, फ़ाइलों तक उपयोगकर्ता की पहुंच को विनियमित करने को गैर-तुच्छ तरीके से कैसे कार्यान्वित किया जाता है। सबसे पहले, यदि कोटा तंत्र का उपयोग नहीं किया जाता है, तो बड़ी फ़ाइलों को सहेजा जा सकता है। दूसरे, सिस्टम इस तरह से बनाया गया है कि फ़ाइल को सहेजना लगभग हमेशा संभव होगा ताकि यह किसी अन्य उपयोगकर्ता के लिए उपलब्ध हो सके।

यह ध्यान में रखते हुए कि कार्य को पूरी तरह से हल करना कठिन है, अधिकांश फ़ाइल घटनाओं का ऑडिट करने की अनुशंसा की जाती है

डिस्क डिवाइस, प्रिंटर और क्लाइंट वर्कस्टेशन के क्लिपबोर्ड के कनेक्शन (मैपिंग) पर रोक लगाना आवश्यक है।

आरडीपी और आईसीए में टर्मिनल कंप्यूटर के डिस्क, प्रिंटर, क्लिपबोर्ड, कॉम पोर्ट के सर्वर से स्वचालित कनेक्शन को व्यवस्थित करने की क्षमता है। यदि यह अवसर मौजूद है, तो टर्मिनल सर्वर पर विदेशी कोड के लॉन्च और टर्मिनल एक्सेस क्लाइंट पर 1C से डेटा की बचत को रोकना लगभग असंभव है। इन सुविधाओं को केवल प्रशासनिक अधिकार वाले लोगों के लिए ही अनुमति दें।

टर्मिनल सर्वर से नेटवर्क फ़ाइल पहुंच सीमित होनी चाहिए।

यदि ऐसा नहीं किया जाता है, तो उपयोगकर्ता फिर से अवांछित कोड चलाने या डेटा सहेजने में सक्षम होगा। चूँकि मानक लॉग फ़ाइल ईवेंट को ट्रैक नहीं करता है (वैसे, प्लेटफ़ॉर्म डेवलपर्स के लिए इसे लागू करना एक अच्छा विचार है), और पूरे नेटवर्क में सिस्टम ऑडिट स्थापित करना लगभग असंभव है (इसे बनाए रखने के लिए पर्याप्त संसाधन नहीं हैं), यह बेहतर है कि उपयोगकर्ता डेटा को या तो प्रिंट करने के लिए या ईमेल द्वारा भेज सकता है। यह सुनिश्चित करने पर विशेष ध्यान दें कि टर्मिनल सर्वर सीधे उपयोगकर्ताओं के हटाने योग्य मीडिया के साथ काम नहीं करता है।

सुरक्षित सिस्टम बनाते समय किसी भी परिस्थिति में आपको एप्लिकेशन सर्वर को टर्मिनल सर्वर पर नहीं छोड़ना चाहिए।

यदि एप्लिकेशन सर्वर क्लाइंट एप्लिकेशन के समान कंप्यूटर पर चलता है, तो इसके सामान्य संचालन को बाधित करने के कई अवसर हैं। यदि किसी कारण से टर्मिनल सर्वर और एप्लिकेशन सर्वर के कार्यों को अलग करना असंभव है, तो एप्लिकेशन सर्वर द्वारा उपयोग की जाने वाली फ़ाइलों तक उपयोगकर्ता की पहुंच पर विशेष ध्यान दें।

टर्मिनल सर्वर पर 1C:Enterprise को छोड़कर सभी एप्लिकेशन चलाने की संभावना को बाहर करना आवश्यक है।

इसे क्रियान्वित करना सबसे कठिन इच्छाओं में से एक है। आइए इस तथ्य से शुरू करें कि आपको डोमेन में समूह सुरक्षा नीति नीति को सही ढंग से कॉन्फ़िगर करने की आवश्यकता है। सभी प्रशासनिक टेम्पलेट और सॉफ़्टवेयर प्रतिबंध नीतियां सही ढंग से कॉन्फ़िगर की जानी चाहिए। स्वयं का परीक्षण करने के लिए, सुनिश्चित करें कि कम से कम निम्नलिखित सुविधाएँ अवरुद्ध हैं:

इस आवश्यकता को लागू करने की जटिलता अक्सर टर्मिनल सर्वर पर "अतिरिक्त" 1सी सत्र लॉन्च करने की संभावना की ओर ले जाती है (भले ही अन्य एप्लिकेशन सीमित हों, विंडोज़ का उपयोग करके 1सी के लॉन्च को प्रतिबंधित करना मौलिक रूप से असंभव है)।

नियमित लॉग की सीमाओं पर विचार करें (सभी उपयोगकर्ता एक कंप्यूटर से प्रोग्राम का उपयोग करते हैं)

जाहिर है, चूंकि उपयोगकर्ता 1सी को टर्मिनल मोड में खोलते हैं, तो टर्मिनल सर्वर लॉग में दर्ज किया जाएगा। लॉग यह नहीं दर्शाता कि उपयोगकर्ता किस कंप्यूटर से कनेक्ट हुआ है।

टर्मिनल सर्वर - सुरक्षा या भेद्यता?

इसलिए, टर्मिनल नॉर्थ की मुख्य विशेषताओं पर विचार करने के बाद, हम कह सकते हैं कि टर्मिनल नॉर्थ संभावित रूप से कंप्यूटिंग लोड को वितरित करने के लिए स्वचालन में मदद कर सकता है, लेकिन एक सुरक्षित प्रणाली का निर्माण करना काफी कठिन है। टर्मिनल सर्वर का उपयोग करने के मामलों में से एक सबसे प्रभावी है जब सीमित कार्यक्षमता और एक विशेष इंटरफ़ेस वाले उपयोगकर्ताओं के लिए पूर्ण स्क्रीन मोड में विंडोज एक्सप्लोरर के बिना 1 सी चलाना है।

ग्राहक भाग का कार्य

इंटरनेट एक्सप्लोरर (आईई) का उपयोग करना

1C क्लाइंट भाग के सामान्य संचालन के लिए शर्तों में से एक इंटरनेट एक्सप्लोरर घटकों का उपयोग है। आपको इन घटकों से बहुत सावधान रहने की आवश्यकता है।

ध्यान! सबसे पहले, यदि कोई स्पाइवेयर या एडवेयर मॉड्यूल IE से "संलग्न" है, तो यह तब भी लोड होगा जब आप 1C में कोई HTML फ़ाइल देखेंगे। अब तक मैंने इस सुविधा का कोई सचेत उपयोग नहीं देखा है, लेकिन मैंने एक संगठन में 1सी रनिंग (एंटीवायरस प्रोग्राम अपडेट नहीं किया गया था, जिसके लक्षण पाए गए थे) के साथ एक अश्लील नेटवर्क से लोड किया हुआ "स्पाई" मॉड्यूल देखा है : फ़ायरवॉल सेट करते समय, यह स्पष्ट था कि 1C पोर्ट 80 पर एक पोर्न साइट से कनेक्ट करने का प्रयास कर रहा था)। दरअसल, यह इस तथ्य के पक्ष में एक और तर्क है कि सुरक्षा व्यापक होनी चाहिए

ध्यान! दूसरे, 1सी प्रणाली प्रदर्शित एचटीएमएल दस्तावेज़ों में फ्लैश मूवी, एक्टिवएक्स ऑब्जेक्ट, वीबीस्क्रिप्ट के उपयोग की अनुमति देती है, इंटरनेट पर डेटा भेजती है, यहां तक ​​कि पीडीएफ फाइलें भी खोलती है (!), हालांकि बाद वाले मामले में यह "खोलें या सहेजें" पूछता है... सामान्य तौर पर, वह सब कुछ जो आपका दिल चाहता है। अंतर्निहित HTML देखने और संपादन क्षमताओं के पूरी तरह से उचित उपयोग नहीं होने का एक उदाहरण:

• एक नया HTML दस्तावेज़ बनाएं (फ़ाइल -> नया -> HTML दस्तावेज़)।
• रिक्त दस्तावेज़ के "टेक्स्ट" टैब पर जाएँ।
• पाठ को (संपूर्णतः) हटाएँ।
• इस दस्तावेज़ के "देखें" टैब पर जाएँ
• ड्रैग-एन-ड्रॉप का उपयोग करके, एक एसडब्ल्यूएफ एक्सटेंशन वाली फ़ाइल (ये फ्लैश मूवी फ़ाइलें हैं) को एक खुले एक्सप्लोरर से दस्तावेज़ विंडो में ले जाएं, उदाहरण के लिए ब्राउज़र कैश से, हालांकि आप मनोरंजन के लिए फ्लैश टॉय का भी उपयोग कर सकते हैं।
• कितना अच्छा! आप 1सी पर खिलौना चला सकते हैं!

सिस्टम सुरक्षा के दृष्टिकोण से, यह पूरी तरह से गलत है। अब तक मैंने इस भेद्यता के माध्यम से 1C पर कोई विशेष हमला नहीं देखा है, लेकिन सबसे अधिक संभावना है कि यह समय और आपकी जानकारी के मूल्य की बात होगी।

कुछ अन्य छोटी समस्याएं हैं जो HTML दस्तावेज़ फ़ील्ड के साथ काम करते समय उत्पन्न होती हैं, लेकिन मुख्य दो सूचीबद्ध हैं। हालाँकि, यदि आप इन सुविधाओं को रचनात्मक रूप से अपनाते हैं, तो आप 1C के साथ काम करने के लिए वास्तव में अद्भुत इंटरफ़ेस क्षमताओं को व्यवस्थित कर सकते हैं।

बाहरी रिपोर्ट और प्रसंस्करण का उपयोग करना।

ध्यान! बाहरी रिपोर्ट और प्रसंस्करण - एक ओर, अतिरिक्त मुद्रित प्रपत्र, नियामक रिपोर्टिंग और विशेष रिपोर्ट को लागू करने का एक सुविधाजनक तरीका है, दूसरी ओर, वे कई सिस्टम सुरक्षा प्रतिबंधों को बायपास करने और एप्लिकेशन के संचालन को बाधित करने का एक संभावित तरीका है; सर्वर (उदाहरण के लिए, ऊपर "पासिंग पैरामीटर्स" में देखें)। 1C प्रणाली में "बाह्य प्रसंस्करण के इंटरैक्टिव उद्घाटन" भूमिका के लिए अधिकारों के सेट में एक विशेष पैरामीटर है, लेकिन यह समस्या को पूरी तरह से हल नहीं करता है - के लिए संपूर्ण समाधानउन उपयोगकर्ताओं के दायरे को काफी सीमित करना आवश्यक है जो बाहरी मुद्रित प्रपत्रों, नियामक रिपोर्टों और बाहरी प्रसंस्करण का उपयोग करके कार्यान्वित मानक समाधानों की अन्य मानक क्षमताओं का प्रबंधन कर सकते हैं। उदाहरण के लिए, यूपीपी में डिफ़ॉल्ट रूप से, सभी मुख्य उपयोगकर्ता भूमिकाओं में अतिरिक्त मुद्रित प्रपत्रों की निर्देशिका के साथ काम करने की क्षमता होती है, और यह वास्तव में, किसी भी बाहरी प्रसंस्करण का उपयोग करने की क्षमता है।

मानक समाधानों और प्लेटफार्मों के लिए मानक तंत्र का उपयोग करना (डेटा विनिमय)

कुछ मानक तंत्र संभावित रूप से खतरनाक और अप्रत्याशित तरीके से हैं।

मुद्रण सूचियाँ

सिस्टम में किसी भी सूची (उदाहरण के लिए, एक निर्देशिका या सूचना रजिस्टर) को मुद्रित या फ़ाइल में सहेजा जा सकता है। ऐसा करने के लिए, बस संदर्भ मेनू और "क्रियाएँ" मेनू से उपलब्ध मानक सुविधा का उपयोग करें:

ध्यान रखें कि वस्तुतः उपयोगकर्ता सूचियों में जो कुछ भी देखता है वह बाहरी फ़ाइलों में आउटपुट हो सकता है। केवल एक चीज जिसकी हम सलाह दे सकते हैं वह है कि प्रिंट सर्वर पर दस्तावेज़ मुद्रण का एक लॉग रखें। विशेष रूप से महत्वपूर्ण रूपों के लिए, संरक्षित तालिका फ़ील्ड से जुड़े एक्शन पैनल को कॉन्फ़िगर करना आवश्यक है ताकि सूची प्रदर्शित करने की क्षमता इस पैनल से उपलब्ध न हो, और संदर्भ मेनू को अक्षम करें (चित्र 6 देखें)।

वितरित डेटाबेस में डेटा विनिमय

डेटा विनिमय प्रारूप काफी सरल है और दस्तावेज़ीकरण में वर्णित है। यदि उपयोगकर्ता के पास कई फ़ाइलों को बदलने की क्षमता है, तो वह सिस्टम में अनधिकृत परिवर्तन कर सकता है (हालाँकि यह काफी श्रम-गहन कार्य है)। वितरित डेटाबेस विनिमय योजनाओं का उपयोग करते समय एक परिधीय डेटाबेस बनाने की क्षमता सामान्य ऑपरेटरों के लिए उपलब्ध नहीं होनी चाहिए।

मानक XML डेटा इंटरचेंज

मानक डेटा विनिमय में, जिसका उपयोग मानक कॉन्फ़िगरेशन (उदाहरण के लिए, "व्यापार प्रबंधन" और "एंटरप्राइज़ अकाउंटिंग") के बीच आदान-प्रदान के लिए किया जाता है, विनिमय नियमों में वस्तुओं को लोड करने और उतारने के लिए इवेंट हैंडलर निर्दिष्ट करना संभव है। इसे फ़ाइल से एक हैंडलर प्राप्त करके और फ़ाइल लोडिंग और अनलोडिंग के मानक प्रसंस्करण के लिए "रन()" प्रक्रिया ("रन()" प्रक्रिया क्लाइंट साइड पर लॉन्च की जाती है) प्राप्त करके कार्यान्वित किया जाता है। जाहिर है, ऐसी नकली एक्सचेंज फ़ाइल बनाना मुश्किल नहीं है जो दुर्भावनापूर्ण कार्य करेगी। मानक समाधानों की अधिकांश उपयोगकर्ता भूमिकाओं के लिए, डिफ़ॉल्ट रूप से साझाकरण की अनुमति है।

सिफारिश:अधिकांश उपयोगकर्ताओं के लिए XML एक्सचेंज तक पहुंच प्रतिबंधित करें (इसे केवल सूचना सुरक्षा प्रशासकों तक छोड़ दें)। इस प्रोसेसिंग के रन का लॉग रखें, उदाहरण के लिए, एक्सचेंज फ़ाइल को सेव करना, भेजना ईमेल द्वाराडाउनलोड करने से पहले सूचना सुरक्षा प्रशासक।

सामान्य रिपोर्ट, विशेषकर रिपोर्ट कंसोल का उपयोग करना

एक अन्य मुद्दा जेनेरिक रिपोर्ट, विशेष रूप से रिपोर्ट कंसोल रिपोर्ट तक डिफ़ॉल्ट उपयोगकर्ता पहुंच है। इस रिपोर्ट की विशेषता यह है कि यह आपको सूचना सुरक्षा के लिए लगभग किसी भी अनुरोध को निष्पादित करने की अनुमति देती है, और, भले ही 1C अधिकार प्रणाली (आरएलएस सहित) को काफी सख्ती से कॉन्फ़िगर किया गया हो, यह उपयोगकर्ता को बहुत सारी "अतिरिक्त" जानकारी प्राप्त करने की अनुमति देता है। और सर्वर को एक अनुरोध निष्पादित करने के लिए बाध्य करें जो सिस्टम के सभी संसाधनों को ले लेगा।

पूर्ण स्क्रीन मोड (डेस्कटॉप मोड) का उपयोग करना

प्रोग्राम कार्यक्षमता तक सीमित पहुंच के साथ विशेष इंटरफेस को व्यवस्थित करने के प्रभावी तरीकों में से एक उपयोग किए गए इंटरफ़ेस के मुख्य (और संभवतः केवल) रूप का पूर्ण-स्क्रीन मोड है। इस मामले में, कोई पहुंच संबंधी समस्याएं नहीं हैं, उदाहरण के लिए, "फ़ाइल" मेनू और सभी उपयोगकर्ता क्रियाएं उपयोग किए गए फॉर्म की क्षमताओं द्वारा सीमित हैं। अधिक विवरण के लिए, ITS डिस्क पर "डेस्कटॉप मोड लागू करने की विशेषताएं" देखें।

बैकअप

1C के क्लाइंट-सर्वर संस्करण के लिए बैकअप दो तरीकों से किया जा सकता है: dt एक्सटेंशन वाली फ़ाइल में डेटा अपलोड करना और SQL का उपयोग करके बैकअप प्रतियां बनाना। पहली विधि के कई नुकसान हैं: विशेष पहुंच की आवश्यकता होती है, एक प्रति के निर्माण में बहुत अधिक समय लगता है, कुछ मामलों में (यदि सूचना सुरक्षा संरचना का उल्लंघन होता है) एक संग्रह बनाना असंभव है, लेकिन एक फायदा है - न्यूनतम आकार पुरालेख. एसक्यूएल बैकअप के लिए, विपरीत सच है: सरल संरचना और संपीड़न की कमी के कारण, एक प्रतिलिपि का निर्माण एसक्यूएल सर्वर का उपयोग करके पृष्ठभूमि में होता है - यह एक बहुत तेज़ प्रक्रिया है, और जब तक एसक्यूएल की भौतिक अखंडता होती है डेटाबेस टूटा नहीं है, बैकअप किया गया है, लेकिन प्रतिलिपि का आकार विस्तारित स्थिति में सूचना सुरक्षा के वास्तविक आकार के साथ मेल खाता है (संपीड़न नहीं किया गया है)। एमएस एसक्यूएल बैकअप सिस्टम के अतिरिक्त फायदों के कारण, इसका उपयोग करना अधिक उचित है (3 प्रकार के बैकअप की अनुमति है: पूर्ण, अंतर, लेनदेन लॉग कॉपी; नियमित रूप से निष्पादित नौकरियां बनाना संभव है; एक बैकअप प्रतिलिपि और एक बैकअप) सिस्टम को शीघ्रता से तैनात किया जाता है; आवश्यक डिस्क स्थान के आकार आदि का अनुमान लगाना संभव है)। सिस्टम सुरक्षा के दृष्टिकोण से बैकअप व्यवस्थित करने के मुख्य बिंदु हैं:

• बैकअप के लिए भंडारण स्थान चुनने की आवश्यकता है ताकि वे उपयोगकर्ताओं के लिए पहुंच योग्य न हों।
• MS SQL सर्वर से भौतिक दूरी पर बैकअप संग्रहीत करने की आवश्यकता (प्राकृतिक आपदाओं, आग, हमलों आदि के मामले में)
• ऐसे उपयोगकर्ता को बैकअप शुरू करने का अधिकार देने की क्षमता जिसके पास बैकअप तक पहुंच नहीं है।

अधिक जानकारी के लिए, कृपया MS SQL दस्तावेज़ देखें।

डेटा एन्क्रिप्शन

डेटा को अनधिकृत पहुंच से बचाने के लिए, विभिन्न क्रिप्टोग्राफ़िक टूल (सॉफ़्टवेयर और हार्डवेयर दोनों) का अक्सर उपयोग किया जाता है, लेकिन उनकी व्यवहार्यता काफी हद तक सिस्टम के सही अनुप्रयोग और समग्र सुरक्षा पर निर्भर करती है। हम सबसे सामान्य साधनों का उपयोग करके डेटा ट्रांसमिशन और भंडारण के विभिन्न चरणों में डेटा एन्क्रिप्शन और क्रिप्टोग्राफ़िक टूल का उपयोग करके सिस्टम डिज़ाइन में मुख्य त्रुटियों को देखेंगे।

सूचना प्रसंस्करण के कई मुख्य चरण हैं जिन्हें संरक्षित किया जा सकता है:

• सिस्टम के क्लाइंट भाग और एप्लिकेशन सर्वर के बीच डेटा ट्रांसफर
• एप्लिकेशन सर्वर और MS SQL सर्वर के बीच डेटा स्थानांतरित करना
• MS SQL सर्वर पर संग्रहीत डेटा (भौतिक डिस्क पर डेटा फ़ाइलें)
• सूचना सुरक्षा में संग्रहीत डेटा का एन्क्रिप्शन
• बाहरी डेटा (सूचना सुरक्षा के संबंध में)

क्लाइंट साइड और एप्लिकेशन सर्वर (सहेजे गए उपयोगकर्ता सेटिंग्स, सूचना सुरक्षा की सूची इत्यादि) पर संग्रहीत डेटा के लिए, एन्क्रिप्शन केवल बहुत ही दुर्लभ मामलों में उचित है और इसलिए यहां इस पर विचार नहीं किया गया है। क्रिप्टोग्राफ़िक टूल का उपयोग करते समय, हमें यह नहीं भूलना चाहिए कि उनका उपयोग समग्र रूप से सिस्टम के प्रदर्शन को काफी कम कर सकता है।

टीसीपी/आईपी प्रोटोकॉल का उपयोग करते समय नेटवर्क कनेक्शन की क्रिप्टोग्राफ़िक सुरक्षा के बारे में सामान्य जानकारी।

सुरक्षा के बिना, सभी नेटवर्क कनेक्शन अनधिकृत निगरानी और पहुंच के प्रति संवेदनशील हैं। उनकी सुरक्षा के लिए आप नेटवर्क प्रोटोकॉल स्तर पर डेटा एन्क्रिप्शन का उपयोग कर सकते हैं। स्थानीय नेटवर्क पर प्रसारित डेटा को एन्क्रिप्ट करने के लिए, ऑपरेटिंग सिस्टम द्वारा प्रदान किए गए IPSec टूल का सबसे अधिक उपयोग किया जाता है।

IPSec उपकरण DES और 3DES एल्गोरिदम का उपयोग करके प्रेषित डेटा का एन्क्रिप्शन प्रदान करते हैं, साथ ही MD5 या SHA1 हैश फ़ंक्शन का उपयोग करके अखंडता सत्यापन भी प्रदान करते हैं। आईपीएसईसी दो मोड में काम कर सकता है: ट्रांसपोर्ट मोड और टनल मोड। स्थानीय नेटवर्क पर कनेक्शन सुरक्षित करने के लिए ट्रांसपोर्ट मोड बेहतर अनुकूल है। टनल मोड का उपयोग अलग-अलग नेटवर्क खंडों के बीच वीपीएन कनेक्शन को व्यवस्थित करने या खुले डेटा चैनलों पर स्थानीय नेटवर्क से दूरस्थ कनेक्शन की सुरक्षा के लिए किया जा सकता है।

इस दृष्टिकोण के मुख्य लाभ हैं:

• सक्रिय निर्देशिका टूल का उपयोग करके केंद्रीकृत सुरक्षा प्रबंधन की संभावना।
• एप्लिकेशन सर्वर और MS SQL सर्वर से अनधिकृत कनेक्शन को बाहर करने की क्षमता (उदाहरण के लिए, एप्लिकेशन सर्वर पर सूचना सुरक्षा के अनधिकृत जोड़ से बचाव करना संभव है)।
• नेटवर्क ट्रैफ़िक के "सुनने" का उन्मूलन।
• एप्लिकेशन प्रोग्राम (इस मामले में 1C) के व्यवहार को बदलने की कोई आवश्यकता नहीं है।
• ऐसे समाधान की मानक प्रकृति.

हालाँकि, इस दृष्टिकोण की सीमाएँ और नुकसान हैं:

• आईपीएसईसी डेटा को स्रोत और गंतव्य कंप्यूटर पर सीधे हस्तक्षेप और छिपकर बात करने से नहीं बचाता है।
• नेटवर्क पर स्थानांतरित किए गए डेटा की मात्रा IPSec का उपयोग किए बिना की तुलना में थोड़ी अधिक है।
• IPSec का उपयोग करते समय, केंद्रीय प्रोसेसर पर लोड थोड़ा अधिक होता है।

आईपीएसईसी टूल के कार्यान्वयन का विस्तृत विवरण इस लेख के दायरे से परे है और इसके लिए आईपी प्रोटोकॉल के कामकाज के बुनियादी सिद्धांतों की समझ की आवश्यकता है। कनेक्शन सुरक्षा को ठीक से कॉन्फ़िगर करने के लिए, कृपया प्रासंगिक दस्तावेज़ पढ़ें।

कई पहलुओं का अलग से उल्लेख करना जरूरी है लाइसेंस समझौतावीपीएन कनेक्शन व्यवस्थित करते समय 1सी के साथ। तथ्य यह है कि, तकनीकी प्रतिबंधों की अनुपस्थिति के बावजूद, स्थानीय नेटवर्क या रिमोट एक्सेस के कई खंडों को जोड़ते समय अलग कंप्यूटरएक स्थानीय नेटवर्क के लिए, इसे आमतौर पर एकाधिक आधार आपूर्ति की आवश्यकता होती है।

सिस्टम के क्लाइंट भाग और एप्लिकेशन सर्वर के बीच स्थानांतरित होने पर डेटा का एन्क्रिप्शन।

नेटवर्क प्रोटोकॉल स्तर पर एन्क्रिप्शन के अलावा, COM+ प्रोटोकॉल स्तर पर डेटा को एन्क्रिप्ट करना संभव है, जिसका उल्लेख ITS के "क्लाइंट-सर्वर संस्करण में सूचना आधार तक उपयोगकर्ता की पहुंच को विनियमित करना" लेख में किया गया है। इसे लागू करने के लिए, आपको 1CV8 एप्लिकेशन के लिए "घटक सेवाओं" में कॉल के लिए प्रमाणीकरण स्तर को "पैकेट गोपनीयता" पर सेट करना होगा। इस मोड पर सेट होने पर, पैकेट को डेटा और प्रेषक की पहचान और हस्ताक्षर सहित प्रमाणित और एन्क्रिप्ट किया जाता है।

एप्लिकेशन सर्वर और MS SQL सर्वर के बीच स्थानांतरित होने पर डेटा का एन्क्रिप्शन

MS SQL सर्वर डेटा एन्क्रिप्शन के लिए निम्नलिखित उपकरण प्रदान करता है:

• एप्लिकेशन सर्वर और MS SQL सर्वर के बीच डेटा स्थानांतरित करते समय सिक्योर सॉकेट लेयर (SSL) का उपयोग करना संभव है।
• मल्टीप्रोटोकॉल नेटवर्क लाइब्रेरी का उपयोग करते समय, आरपीसी स्तर पर डेटा एन्क्रिप्शन का उपयोग किया जाता है। एसएसएल का उपयोग करने की तुलना में यह संभावित रूप से कमजोर एन्क्रिप्शन है।
• यदि साझा मेमोरी एक्सचेंज प्रोटोकॉल का उपयोग किया जाता है (ऐसा तब होता है जब एप्लिकेशन सर्वर और एमएस एसक्यूएल सर्वर एक ही कंप्यूटर पर स्थित होते हैं), तो किसी भी स्थिति में एन्क्रिप्शन का उपयोग नहीं किया जाता है।

किसी विशिष्ट MS SQL सर्वर के लिए सभी संचारित डेटा को एन्क्रिप्ट करने की आवश्यकता स्थापित करने के लिए, आपको "सर्वर नेटवर्क उपयोगिता" उपयोगिता का उपयोग करना चाहिए। इसे चलाएँ और "सामान्य" टैब पर, "फोर्स प्रोटोकॉल एन्क्रिप्शन" चेकबॉक्स को चेक करें। एन्क्रिप्शन विधि का चयन क्लाइंट एप्लिकेशन (यानी, 1C एप्लिकेशन सर्वर) द्वारा उपयोग की जाने वाली विधि के आधार पर किया जाता है। एसएसएल का उपयोग करने के लिए, आपको अपने नेटवर्क पर प्रमाणपत्र सेवा को सही ढंग से कॉन्फ़िगर करना होगा।

किसी विशिष्ट एप्लिकेशन सर्वर के लिए सभी प्रेषित डेटा को एन्क्रिप्ट करने की आवश्यकता निर्धारित करने के लिए, आपको "क्लाइंट नेटवर्क यूटिलिटी" उपयोगिता (आमतौर पर "C:\WINNT\system32\cliconfg.exe" में स्थित) का उपयोग करना होगा। पिछले मामले की तरह, "सामान्य" टैब पर, "फोर्स प्रोटोकॉल एन्क्रिप्शन" चेकबॉक्स को चेक करें।

यह विचार करने योग्य है कि इस मामले में एन्क्रिप्शन का उपयोग सिस्टम प्रदर्शन पर महत्वपूर्ण प्रभाव डाल सकता है, खासकर जब क्वेरी का उपयोग किया जाता है जो बड़ी मात्रा में जानकारी लौटाता है।

टीसीपी/आईपी प्रोटोकॉल का उपयोग करते समय एप्लिकेशन सर्वर और एमएस एसक्यूएल सर्वर के बीच कनेक्शन को पूरी तरह से सुरक्षित करने के लिए, हम डिफ़ॉल्ट सेटिंग्स में कई बदलावों की सिफारिश कर सकते हैं।

सबसे पहले, आप मानक पोर्ट के अलावा कोई अन्य पोर्ट सेट कर सकते हैं (पोर्ट 1433 डिफ़ॉल्ट रूप से उपयोग किया जाता है)। यदि आप डेटा विनिमय के लिए गैर-मानक टीसीपी पोर्ट का उपयोग करने का निर्णय लेते हैं, तो कृपया ध्यान दें कि:

• MS SQL सर्वर और एप्लिकेशन सर्वर को एक ही पोर्ट का उपयोग करना चाहिए।
• फ़ायरवॉल का उपयोग करते समय, इस पोर्ट की अनुमति होनी चाहिए।
• आप ऐसा पोर्ट सेट नहीं कर सकते जिसका उपयोग MS SQL सर्वर पर अन्य एप्लिकेशन द्वारा किया जा सके। संदर्भ के लिए, आप http://www.ise.edu/in-notes/iana/assignments/port-numbers (पता SQL सर्वर बुक्स ऑनलाइन से लिया गया है) का उपयोग कर सकते हैं।
• कॉन्फ़िगरेशन के लिए MS SQL सर्वर सेवा के एकाधिक उदाहरणों का उपयोग करते समय, MS SQL दस्तावेज़ (अनुभाग "नेटवर्क कनेक्शन कॉन्फ़िगर करना") को पढ़ना सुनिश्चित करें।

दूसरे, MS SQL सर्वर पर TCP/IP प्रोटोकॉल सेटिंग्स में, आप "सर्वर छुपाएं" ध्वज सेट कर सकते हैं, जो MS SQL सर्वर सेवा के इस उदाहरण के लिए प्रसारण अनुरोधों की प्रतिक्रियाओं को प्रतिबंधित करता है।

डिस्क पर संग्रहीत MS SQL डेटा का एन्क्रिप्शन

स्थानीय डिस्क पर स्थित डेटा को एन्क्रिप्ट करने के लिए सॉफ्टवेयर और हार्डवेयर का काफी बड़ा चयन होता है (इसमें ईएफएस का उपयोग करने की मानक विंडोज क्षमता, ईटोकन कुंजी का उपयोग और जेटिको बेस्टक्रिप्ट या पीजीपीडिस्क जैसे तीसरे पक्ष के प्रोग्राम शामिल हैं)। इन उपकरणों द्वारा किए जाने वाले मुख्य कार्यों में से एक मीडिया हानि की स्थिति में डेटा की सुरक्षा करना है (उदाहरण के लिए, यदि कोई सर्वर चोरी हो जाता है)। यह विशेष रूप से ध्यान देने योग्य है कि Microsoft एन्क्रिप्टेड मीडिया पर MS SQL डेटाबेस को संग्रहीत करने की अनुशंसा नहीं करता है, और यह काफी उचित है। इस मामले में मुख्य समस्या उत्पादकता में उल्लेखनीय गिरावट है और संभावित समस्याएँविफलताओं से विश्वसनीयता. सिस्टम प्रशासक के जीवन को जटिल बनाने वाला दूसरा कारक उस समय सभी डेटाबेस फ़ाइलों की उपलब्धता सुनिश्चित करने की आवश्यकता है जब एमएस एसक्यूएल सेवा पहली बार उन तक पहुंचती है (यानी, यह वांछनीय है कि एन्क्रिप्टेड माध्यम को कनेक्ट करते समय इंटरैक्टिव क्रियाओं को बाहर रखा जाए)।

सिस्टम प्रदर्शन में उल्लेखनीय गिरावट से बचने के लिए, आप कई फ़ाइलों में डेटाबेस बनाने के लिए MS SQL की क्षमता का उपयोग कर सकते हैं। बेशक, इस मामले में, इन्फोबेस बनाते समय MS SQL डेटाबेस को 1C सर्वर द्वारा नहीं बनाया जाना चाहिए, बल्कि अलग से बनाया जाना चाहिए। टिप्पणियों के साथ TSQL स्क्रिप्ट का एक उदाहरण नीचे दिया गया है:

उपयोग मास्टर
जाना
-- एक डेटाबेस बनाएं SomData,
कुछडेटा डेटाबेस बनाएँ
-- जिसका डेटा पूरी तरह से प्राथमिक फ़ाइल समूह में स्थित है।
प्राथमिक पर
- मुख्य डेटा फ़ाइल एन्क्रिप्टेड मीडिया (लॉजिकल ड्राइव ई:) पर स्थित है
- और इसका प्रारंभिक आकार 100 एमबी है, इसे स्वचालित रूप से 200 एमबी तक बढ़ाया जा सकता है
-- 20 एमबी की वृद्धि में
(नाम = कुछ डेटा1,
फ़ाइलनाम = "ई:\SomeData1.mdf",
आकार = 100एमबी,
अधिकतम आकार = 200,
फाइलग्रोथ = 2),
- दूसरी डेटा फ़ाइल अनएन्क्रिप्टेड मीडिया (लॉजिकल ड्राइव C:) पर स्थित है
-- और इसका प्रारंभिक आकार 100 एमबी है, इसे स्वचालित रूप से सीमा तक बढ़ाया जा सकता है
- वर्तमान फ़ाइल आकार के 5% की वृद्धि में डिस्क स्थान (64 केबी तक पूर्णांकित)
(नाम = कुछडेटा2,
फ़ाइलनाम = "c:\प्रोग्राम फ़ाइलें\microsoft sql सर्वर\mssql\data\SomeData2.ndf",
आकार = 100एमबी,
अधिकतम आकार = असीमित,
फ़ाइलवृद्धि = 5%)
पर लॉग ऑन करें
-- हालाँकि लेन-देन लॉग को भी भागों में विभाजित किया जा सकता है, लेकिन ऐसा नहीं किया जाना चाहिए,
-- क्योंकि यह फ़ाइल बहुत अधिक बार बदलती है और नियमित रूप से साफ़ की जाती है (उदाहरण के लिए, जब
- डेटाबेस बैकअप बनाना)।
(नाम = कुछ डेटालॉग,
FILENAME = "c:\प्रोग्राम फ़ाइलें\microsoft sql सर्वर\mssql\data\SomeData.ldf",
आकार = 10एमबी,
अधिकतम आकार = असीमित,
फाइलग्रोथ = 10)
जाना
- जिस उपयोगकर्ता की ओर से डेटाबेस का स्वामित्व तुरंत दिया जाना बेहतर है
-- 1C कनेक्ट होगा. ऐसा करने के लिए, हमें वर्तमान आधार घोषित करना होगा
- अभी बनाया गया,
कुछ डेटा का उपयोग करें
जाना
- और sp_changedbowner निष्पादित करें
EXEC sp_changedbowner @loginame = "SomeData_dbowner"

डेटा फ़ाइल आकार की स्वचालित वृद्धि के बारे में एक संक्षिप्त विषयांतर। डिफ़ॉल्ट रूप से, नए डेटाबेस के लिए फ़ाइल आकार वर्तमान फ़ाइल आकार के 10% की वृद्धि में बढ़ाए जाते हैं। यह छोटे डेटाबेस के लिए पूरी तरह से स्वीकार्य समाधान है, लेकिन बड़े डेटाबेस के लिए बहुत अच्छा नहीं है: उदाहरण के लिए, 20 जीबी के डेटाबेस आकार के साथ, फ़ाइल को तुरंत 2 जीबी तक बढ़ाया जाना चाहिए। हालाँकि यह घटना बहुत कम घटित होगी, यह कई दसियों सेकंड तक चल सकती है (इस समय के दौरान अन्य सभी लेनदेन प्रभावी रूप से निष्क्रिय होते हैं), जो, यदि यह डेटाबेस के साथ सक्रिय कार्य के दौरान होता है, तो कुछ विफलताओं का कारण बन सकता है। आनुपातिक वृद्धि का दूसरा नकारात्मक परिणाम, जो तब होता है जब डिस्क स्थान लगभग पूरी तरह से भर जाता है, अपर्याप्त खाली स्थान के कारण समय से पहले विफलता की संभावना है। उदाहरण के लिए, यदि 40 जीबी डिस्क विभाजन पूरी तरह से एक डेटाबेस (अधिक सटीक रूप से, इस डेटाबेस की एक फ़ाइल के लिए) को समर्पित है, तो डेटाबेस फ़ाइल का महत्वपूर्ण आकार जिस पर तत्काल (बहुत तत्काल, रुकावट तक) आवश्यक है उपयोगकर्ताओं के सामान्य कार्य के लिए) सूचना के भंडारण को पुनर्व्यवस्थित करने के लिए डेटा फ़ाइल का आकार 35 जीबी है। 10-20 एमबी पर सेट वृद्धि आकार के साथ, आप 39 जीबी तक पहुंचने तक काम करना जारी रख सकते हैं।

इसलिए, यद्यपि उपरोक्त सूची 5% की वृद्धि में डेटाबेस फ़ाइलों में से एक के आकार में वृद्धि निर्दिष्ट करती है, जब बड़े आकारडेटाबेस के लिए 10-20 एमबी की निश्चित वृद्धि निर्धारित करना बेहतर है। डेटाबेस फ़ाइल आकार वृद्धि के लिए वृद्धि मान सेट करते समय, यह ध्यान रखना आवश्यक है कि जब तक फ़ाइल समूह में से कोई एक फ़ाइल अपने अधिकतम आकार तक नहीं पहुँच जाती, तब तक नियम लागू होता है: एक फ़ाइल समूह में फ़ाइलें एक ही समय में बढ़ाई जाती हैं वह समय, जब वे सभी पूरी तरह भर जाएंगे। इसलिए, ऊपर दिए गए उदाहरण में, जब SomData1.mdf फ़ाइल अपने अधिकतम आकार 200 एमबी तक पहुँचती है, तो SomData2.ndf फ़ाइल का आकार लगभग 1.1 जीबी होगा।

ऐसा डेटाबेस बनाने के बाद, भले ही इसकी असुरक्षित फ़ाइलें SomData2.ndf और someData.ldf किसी हमलावर के लिए पहुंच योग्य हो जाएं, डेटाबेस की वास्तविक स्थिति को पुनर्स्थापित करना बेहद मुश्किल होगा - डेटा (डेटाबेस की तार्किक संरचना के बारे में जानकारी सहित) ) कई फ़ाइलों में बिखरा हुआ होगा, और मुख्य जानकारी (उदाहरण के लिए, कौन सी फ़ाइलें इस डेटाबेस को बनाती हैं) एन्क्रिप्टेड फ़ाइल में होंगी।

बेशक, यदि क्रिप्टोग्राफ़िक साधनों का उपयोग करके डेटाबेस फ़ाइलों को संग्रहीत करने का उपयोग किया जाता है, तो बैकअप (कम से कम इन फ़ाइलों का) अनएन्क्रिप्टेड मीडिया पर नहीं किया जाना चाहिए। व्यक्तिगत डेटाबेस फ़ाइलों का बैकअप लेने के लिए, उपयुक्त बैकअप डेटाबेस कमांड सिंटैक्स का उपयोग करें। कृपया ध्यान दें कि यद्यपि डेटाबेस बैकअप को पासवर्ड ("बैकअप डेटाबेस" कमांड के विकल्प "पासवर्ड = " और "मीडियापासवर्ड =") से सुरक्षित करना संभव है, ऐसा बैकअप एन्क्रिप्टेड नहीं होता है!

डिस्क पर संग्रहीत एप्लिकेशन सर्वर और क्लाइंट डेटा का एन्क्रिप्शन

ज्यादातर मामलों में, अनुचित रूप से उच्च लागत के कारण एन्क्रिप्टेड मीडिया पर 1C: एंटरप्राइज़ (क्लाइंट भाग और एप्लिकेशन सर्वर) द्वारा उपयोग की जाने वाली फ़ाइलों को संग्रहीत करना उचित नहीं माना जा सकता है, हालांकि, यदि ऐसी कोई आवश्यकता मौजूद है, तो कृपया ध्यान दें कि एप्लिकेशन सर्वर और क्लाइंट भाग एप्लिकेशन अक्सर अस्थायी फ़ाइलें बनाते हैं। अक्सर, ये फ़ाइलें एप्लिकेशन के चलने के समाप्त होने के बाद भी रह सकती हैं, और 1C टूल का उपयोग करके उन्हें हटाने की गारंटी देना लगभग असंभव है। इस प्रकार, 1C में अस्थायी फ़ाइलों के लिए उपयोग की जाने वाली निर्देशिका को एन्क्रिप्ट करना या इसे RAM ड्राइव का उपयोग करके डिस्क पर संग्रहीत नहीं करना आवश्यक हो जाता है (जनरेट की गई फ़ाइलों के आकार और 1C: एंटरप्राइज़ की RAM आवश्यकताओं के कारण बाद वाला विकल्प हमेशा संभव नहीं होता है) आवेदन ही)।

अंतर्निहित 1C टूल का उपयोग करके डेटा एन्क्रिप्शन।

1C में एन्क्रिप्शन का उपयोग करने की मानक क्षमताएं एन्क्रिप्शन मापदंडों के साथ ज़िप फ़ाइलों के साथ काम करने के लिए ऑब्जेक्ट का उपयोग करने के लिए आती हैं। निम्नलिखित एन्क्रिप्शन मोड उपलब्ध हैं: 128, 192 या 256 बिट्स की कुंजी के साथ एईएस एल्गोरिदम और एक अप्रचलित एल्गोरिदम जो मूल रूप से ज़िप संग्रहकर्ता में उपयोग किया जाता है। AES से एन्क्रिप्ट की गई ज़िप फ़ाइलें कई अभिलेखकर्ताओं (WinRAR, 7zip) द्वारा पढ़ने योग्य नहीं हैं। एन्क्रिप्टेड डेटा वाली फ़ाइल बनाने के लिए, आपको एक पासवर्ड और एन्क्रिप्शन एल्गोरिदम निर्दिष्ट करना होगा। इस सुविधा पर आधारित एन्क्रिप्शन-डिक्रिप्शन फ़ंक्शन का सबसे सरल उदाहरण नीचे दिया गया है:

फ़ंक्शन एन्क्रिप्टडेटा (डेटा, पासवर्ड, एन्क्रिप्शन विधि = अपरिभाषित) निर्यात

// डेटा को एक अस्थायी फ़ाइल में लिखें। वास्तव में, सारा डेटा इस तरह से सहेजा नहीं जा सकता।
वैल्यूइनफ़ाइल(अस्थायीफ़ाइलनाम, डेटा);

// संग्रह में अस्थायी डेटा लिखें
ज़िप = नया ZipFileRecord (TemporaryArchiveFileName, पासवर्ड, एन्क्रिप्शन विधि);
ज़िप.जोड़ें(अस्थायीफ़ाइलनाम);
ज़िप.लिखें();

// प्राप्त संग्रह से डेटा को रैम में पढ़ें
एन्क्रिप्टेडडेटा = NewValueStorage(NewBinaryData(ArchiveTemporaryFileName));

//अस्थायी फ़ाइलें - हटाएँ

एंडफ़ंक्शन फ़ंक्शन डिक्रिप्टडेटा (एन्क्रिप्टेडडेटा, पासवर्ड) निर्यात

// ध्यान! पारित मापदंडों की शुद्धता की निगरानी नहीं की जाती है

// पारित मान को फ़ाइल में लिखें
ArchiveTemporaryFileName = GetTemporaryFileName('zip');
बाइनरीआर्काइवडेटा = एन्क्रिप्टेडडेटा.गेट();
BinaryArchiveData.Write(ArchiveTemporaryFileName);

// अभी लिखे गए संग्रह की पहली फ़ाइल निकालें
TemporaryFileName = GetTemporaryFileName();
ज़िप = नया ReadZipFile(TemporaryArchiveFileName, पासवर्ड);
Zip.Extract(Zip.Items, TemporaryFileName, ZIPFilePathRecoveryMode.Do NotRecover);

// लिखित फ़ाइल पढ़ें
डेटा = वैल्यूफ्रॉमफ़ाइल(अस्थायीफ़ाइलनाम + "\" + ज़िप.आइटम्स.नाम);

//अस्थायी फ़ाइलें हटाएँ
फ़ाइलें हटाएं(अस्थायीफ़ाइलनाम);
डिलीटफ़ाइलें(संग्रहअस्थायीफ़ाइलनाम);

डेटा लौटाएँ;

अंतकार्य

बेशक, इस पद्धति को आदर्श नहीं कहा जा सकता - डेटा एक अस्थायी फ़ोल्डर में लिखा जाता है खुला प्रपत्र, विधि का प्रदर्शन, स्पष्ट रूप से कहें तो, पहले से कहीं अधिक खराब है, डेटाबेस में भंडारण के लिए बहुत बड़ी मात्रा में स्थान की आवश्यकता होती है, लेकिन यह एकमात्र विधि है जो केवल प्लेटफ़ॉर्म के अंतर्निहित तंत्र पर आधारित है। इसके अलावा, कई अन्य तरीकों की तुलना में इसका एक फायदा है - यह विधि एन्क्रिप्शन के साथ-साथ डेटा भी पैक करती है। यदि आप इस विधि के नुकसान के बिना एन्क्रिप्शन लागू करना चाहते हैं, तो आपको या तो उन्हें बाहरी घटक में लागू करना होगा, या COM ऑब्जेक्ट्स के निर्माण के माध्यम से मौजूदा पुस्तकालयों की ओर रुख करना होगा, उदाहरण के लिए, Microsoft क्रिप्टोएपीआई का उपयोग करना। उदाहरण के तौर पर, हम प्राप्त पासवर्ड के आधार पर एक स्ट्रिंग को एन्क्रिप्ट/डिक्रिप्ट करने का कार्य देंगे।

फ़ंक्शन EncryptStringDES (अनएन्क्रिप्टेडस्ट्रिंग, पासवर्ड)

CAPICOM_ENCRYPTION_ALGORITHM_DES = 2; // यह स्थिरांक क्रिप्टोएपीआई से है

एन्क्रिप्शनमैकेनिज्म.सामग्री = अनएन्क्रिप्टेडस्ट्रिंग;
एन्क्रिप्शन इंजन.एल्गोरिदम.नाम = CAPICOM_ENCRYPTION_ALGORITHM_DES;
एन्क्रिप्टेडस्ट्रिंग = एन्क्रिप्शनमैकेनिज्म.एन्क्रिप्ट();

एन्क्रिप्टेडस्ट्रिंग लौटाएँ;

एंडफ़ंक्शन // EncryptStringDES()

फ़ंक्शन डिक्रिप्टस्ट्रिंगडीईएस (एन्क्रिप्टेडस्ट्रिंग, पासवर्ड)

//ध्यान! पैरामीटर्स की जाँच नहीं की गई!

एन्क्रिप्शन इंजन = नया COMObject('CAPICOM.EncryptedData');
एन्क्रिप्शनमैकेनिज्म.सेटसीक्रेट(पासवर्ड);
कोशिश करना
एन्क्रिप्शनमैकेनिज्म.डिक्रिप्ट(एन्क्रिप्टेडस्ट्रिंग);
अपवाद
// गलत पासवर्ड!;
वापसी अपरिभाषित;
अंतप्रयास;

ReturnEncryptionMechanism.सामग्री;

एंडफंक्शन // डिक्रिप्टस्ट्रिंगडीईएस()

कृपया ध्यान दें कि इन फ़ंक्शंस में एक स्ट्रिंग या पासवर्ड के रूप में एक खाली मान पास करने से एक त्रुटि संदेश उत्पन्न होगा। इस एन्क्रिप्शन प्रक्रिया का उपयोग करके प्राप्त स्ट्रिंग मूल से थोड़ी लंबी है। इस एन्क्रिप्शन की विशिष्टता यह है कि यदि आप किसी स्ट्रिंग को दो बार एन्क्रिप्ट करते हैं, तो परिणामी स्ट्रिंग समान नहीं होंगी।

क्रिप्टोग्राफ़िक टूल का उपयोग करते समय बुनियादी गलतियाँ।

क्रिप्टोग्राफ़िक टूल का उपयोग करते समय, वही गलतियाँ अक्सर की जाती हैं:

क्रिप्टोग्राफी का उपयोग करते समय प्रदर्शन दंड को कम आंकना।

क्रिप्टोग्राफी एक ऐसा कार्य है जिसके लिए काफी बड़ी संख्या में गणनाओं की आवश्यकता होती है (विशेषकर DES, 3DES, GOST, PGP जैसे एल्गोरिदम के लिए)। और उच्च-प्रदर्शन और अनुकूलित एल्गोरिदम (आरसी5, आरसी6, एईएस) का उपयोग करते समय भी, मेमोरी और कम्प्यूटेशनल प्रोसेसिंग में अनावश्यक डेटा ट्रांसफर से कोई बच नहीं पाता है। और यह कई सर्वर घटकों (RAID सरणियों, नेटवर्क एडेप्टर) की क्षमताओं को लगभग नकार देता है। हार्डवेयर एन्क्रिप्शन या एन्क्रिप्शन कुंजी के हार्डवेयर व्युत्पत्ति का उपयोग करते समय, एक अतिरिक्त संभावित प्रदर्शन बाधा होती है: अतिरिक्त डिवाइस और मेमोरी के बीच डेटा ट्रांसफर की गति (जहां ऐसे डिवाइस का प्रदर्शन महत्वपूर्ण नहीं हो सकता है)। छोटी मात्रा में डेटा (उदाहरण के लिए, एक ईमेल संदेश) के एन्क्रिप्शन का उपयोग करते समय, सिस्टम पर कंप्यूटिंग लोड में वृद्धि इतनी ध्यान देने योग्य नहीं होती है, लेकिन हर चीज के कुल एन्क्रिप्शन के मामले में, यह सिस्टम के प्रदर्शन को काफी प्रभावित कर सकता है। एक पूरे के रूप में।

पासवर्ड और कुंजियाँ चुनने की आधुनिक क्षमताओं को कम आंकना।

फिलहाल, प्रौद्योगिकी की क्षमताएं ऐसी हैं कि 40-48 बिट लंबाई वाली कुंजी को एक छोटा संगठन चुन सकता है, और 56-64 बिट लंबाई वाली कुंजी को एक बड़ा संगठन चुन सकता है। वे। कम से कम 96 या 128 बिट्स की कुंजी का उपयोग करने वाले एल्गोरिदम का उपयोग किया जाना चाहिए। लेकिन अधिकांश कुंजियाँ उपयोगकर्ता द्वारा दर्ज किए गए पासवर्ड के आधार पर हैश एल्गोरिदम (SHA-1, आदि) का उपयोग करके उत्पन्न की जाती हैं। इस मामले में, 1024 बिट लंबाई वाली कुंजी मदद नहीं कर सकती है। सबसे पहले, अनुमान लगाने में आसान पासवर्ड का अक्सर उपयोग किया जाता है। चयन को सुविधाजनक बनाने वाले कारक हैं: अक्षरों के केवल एक मामले का उपयोग; पासवर्ड में शब्दों, नामों और अभिव्यक्तियों का उपयोग; ज्ञात तिथियों, जन्मदिनों आदि का उपयोग; पासवर्ड बनाते समय "पैटर्न" का उपयोग करना (उदाहरण के लिए, 3 अक्षर, फिर 2 संख्याएँ, फिर पूरे संगठन में 3 अक्षर)। एक अच्छा पासवर्ड केस अक्षरों, संख्याओं और विराम चिह्नों दोनों का काफी यादृच्छिक क्रम होना चाहिए। कीबोर्ड से 7-8 अक्षर तक दर्ज किए गए पासवर्ड का अनुमान इन नियमों का पालन करने पर भी उचित समय में लगाया जा सकता है, इसलिए पासवर्ड कम से कम 11-13 अक्षर का होना बेहतर है। आदर्श समाधान पासवर्ड का उपयोग करके कुंजी उत्पन्न करने से बचना है, उदाहरण के लिए, विभिन्न स्मार्ट कार्ड आदि का उपयोग करना, लेकिन इस मामले में एन्क्रिप्शन कुंजी मीडिया के नुकसान से सुरक्षा की संभावना प्रदान करना आवश्यक है।

चाबियाँ और पासवर्ड का असुरक्षित भंडारण.

इस त्रुटि के सामान्य उदाहरण हैं:

• उपयोगकर्ता के मॉनिटर पर चिपके चिपचिपे नोटों पर लिखे गए लंबे और जटिल पासवर्ड।
• सभी पासवर्डों को एक ऐसी फ़ाइल में संग्रहीत करना जो सुरक्षित नहीं है (या सिस्टम की तुलना में बहुत कमजोर रूप से सुरक्षित है)
• सार्वजनिक डोमेन में इलेक्ट्रॉनिक कुंजियों का भंडारण।
• उपयोगकर्ताओं के बीच इलेक्ट्रॉनिक कुंजियों का बार-बार स्थानांतरण।

यदि इसकी चाबी डोरमैट के नीचे है तो बख्तरबंद दरवाजा क्यों बनाया जाए?

प्रारंभ में एन्क्रिप्टेड डेटा को असुरक्षित वातावरण में स्थानांतरित करना।

सुरक्षा प्रणाली स्थापित करते समय, सुनिश्चित करें कि यह अपना काम करती है। उदाहरण के लिए, मुझे एक ऐसी स्थिति का सामना करना पड़ा (1सी से संबंधित नहीं) जब एक आरंभिक एन्क्रिप्टेड फ़ाइल, जब प्रोग्राम स्पष्ट रूप में चल रहा था, एक अस्थायी फ़ोल्डर में रखी गई थी, जहां से इसे सुरक्षित रूप से पढ़ा जा सकता था। अक्सर, स्पष्ट रूप में एन्क्रिप्टेड डेटा की बैकअप प्रतियां इस डेटा से कहीं "दूर नहीं" स्थित होती हैं।

अन्य उद्देश्यों के लिए क्रिप्टोग्राफ़िक टूल का उपयोग

ट्रांज़िट में डेटा को एन्क्रिप्ट करके, आप यह उम्मीद नहीं कर सकते हैं कि डेटा वहां पहुंच योग्य नहीं होगा जहां इसका उपयोग किया जाता है। उदाहरण के लिए, IPSec सेवाएँ किसी भी तरह से एप्लिकेशन सर्वर को एप्लिकेशन स्तर पर नेटवर्क ट्रैफ़िक को "सूँघने" से नहीं रोकती हैं।

इस प्रकार, क्रिप्टोग्राफ़िक सिस्टम लागू करते समय गलतियों से बचने के लिए, आपको इसे तैनात करने से पहले (कम से कम) निम्नलिखित कार्य करना चाहिए।

• पता लगाना:
  • क्या संरक्षित करने की आवश्यकता है?
  • आपको कौन सी सुरक्षा पद्धति का उपयोग करना चाहिए?
  • सिस्टम के किन हिस्सों को सुरक्षित करने की आवश्यकता है?
  • पहुंच को कौन नियंत्रित करेगा?
  • क्या एन्क्रिप्शन सभी सही क्षेत्रों में काम करेगा?
• निर्धारित करें कि जानकारी कहाँ संग्रहीत है, इसे नेटवर्क पर कैसे भेजा जाएगा, और वे कंप्यूटर जिनसे जानकारी तक पहुँच प्राप्त की जाएगी। यह सिस्टम कार्यान्वयन से पहले नेटवर्क की गति, क्षमता और उपयोग के बारे में जानकारी प्रदान करेगा, जो प्रदर्शन को अनुकूलित करने के लिए उपयोगी है।
• विभिन्न प्रकार के हमलों के प्रति सिस्टम की भेद्यता का आकलन करें।
• एक सिस्टम सुरक्षा योजना विकसित करें और उसका दस्तावेजीकरण करें।
• सिस्टम का उपयोग करने की आर्थिक दक्षता (औचित्य) का मूल्यांकन करें।

निष्कर्ष

बेशक, एक त्वरित समीक्षा में 1सी में सुरक्षा से संबंधित सभी पहलुओं को इंगित करना असंभव है, लेकिन आइए हम खुद को कुछ प्रारंभिक निष्कर्ष निकालने की अनुमति दें। बेशक, इस प्लेटफ़ॉर्म को आदर्श नहीं कहा जा सकता - कई अन्य की तरह, एक सुरक्षित प्रणाली को व्यवस्थित करने में इसकी अपनी समस्याएं हैं। लेकिन इसका मतलब यह नहीं है कि इन समस्याओं से बचा नहीं जा सकता, इसके विपरीत, सिस्टम के उचित विकास, कार्यान्वयन और उपयोग से लगभग सभी कमियों को दूर किया जा सकता है; अधिकांश समस्याएँ किसी विशिष्ट एप्लिकेशन समाधान और उसके निष्पादन वातावरण के अपर्याप्त विकास के कारण उत्पन्न होती हैं। उदाहरण के लिए, महत्वपूर्ण परिवर्तनों के बिना मानक समाधानों का अर्थ पर्याप्त रूप से सुरक्षित प्रणाली का निर्माण नहीं है।

यह लेख एक बार फिर दर्शाता है कि सुरक्षा उपायों के किसी भी सेट में कार्यान्वयन के सभी चरण शामिल होने चाहिए: विकास, तैनाती, सिस्टम प्रशासन और निश्चित रूप से, संगठनात्मक उपाय। सूचना प्रणालियों में, यह "मानवीय कारक" (उपयोगकर्ताओं सहित) है जो मुख्य सुरक्षा खतरा है। उपायों का यह सेट उचित और संतुलित होना चाहिए: इसका कोई मतलब नहीं है और यह संभावना नहीं है कि डेटा की लागत से अधिक सुरक्षा को व्यवस्थित करने के लिए पर्याप्त धनराशि आवंटित की जाएगी।

कंपनी खरीदारों, डेवलपर्स, डीलरों और संबद्ध भागीदारों के लिए एक अनूठी सेवा है। इसके अलावा, यह रूस, यूक्रेन और कजाकिस्तान में सर्वश्रेष्ठ ऑनलाइन सॉफ्टवेयर स्टोरों में से एक है, जो ग्राहकों को उत्पादों की एक विस्तृत श्रृंखला, कई भुगतान विधियां, त्वरित (अक्सर तत्काल) ऑर्डर प्रोसेसिंग और व्यक्तिगत अनुभाग में ऑर्डर प्रक्रिया को ट्रैक करने की पेशकश करता है। .