Vulnify
Анализ конфигурации
Выгрузка Конфигуратора, .cf и .cfe разбираются правилами для BSL: HTTP-сервисы без проверки прав, отключённая проверка сертификата, слабые хэши, секреты в модулях. Подключаться к рабочей базе для этого не нужно.
1С:Предприятие
1С — в том же контуре, что и остальные приложения
Для 1С Vulnify отвечает на те же три вопроса, что и для любой другой системы: что уязвимо в коде, что открыто наружу и кто и когда это исправит. Без отдельного продукта и отдельного процесса.
Что проверяется
Код, публикация и исправление
Аудит опубликованной базы
Пассивная проверка того, что публикация отдаёт в сеть: OData без сессии, HTTP с Basic-авторизацией, список пользователей веб-клиента, открытые порты кластера и сборка платформы относительно исправлений из БДУ. Ничего не записывается и не подбирается.
Исправление внутри 1С
Находка становится управляемой работой в процессах заказчика — через расширение .cfe на объектах платформы или задачей в 1С:Документооборот и 1С:ITILIUM. Закрывается только после подтверждения повторным сканом, а регрессия снова открывает и находку, и задачу.
Пилот для 1С
Что понадобится для проверки
Каждая часть подключается отдельно: можно начать с анализа кода и добавить аудит публикации и задачи позже.
- Выгрузка конфигурацииФайлы Конфигуратора, .cf или .cfe — для анализа кода. Доступ к рабочей базе не нужен.
- Адрес публикацииДля пассивного аудита того, что база отдаёт в сеть: OData, HTTP-сервисы, веб-клиент, порты кластера.
- Трекер задач1С:Документооборот или 1С:ITILIUM — если работа по находкам должна идти там.
Следующий шаг
Покажем на вашей конфигурации
Расскажите, какую систему на 1С хотите проверить. Предложим границы, план пилота и время короткого созвона.
Демо, пилот и внедрение sales@vulnify.org