Перевищено ліміт активності” у 1С-Бітрікс: захист від сканування та шкідливих запитів через nginx

На сайті відвідувач перевищив встановлений ліміт активності.
Починаючи з [дата], відвідувач заблокований на 600 сек.
Активність – 16 хітів за 10 с. (ліміт – 15)
Відвідувач – 1974831
Сесія – 2032988
Пошуковик – [0]
UserAgent –

Для додавання в стоп-лист скористайтеся посиланням нижче:
...

Чому це відбувається

• /ee.php
• /edit.php
• /dropdown.php
• /doc.php
• /content.php
• /composer.php
• /classsmtps.php
• /adminer.php
• /as.php
• /alfanew.php

А також по вкладених шляхах:

• /assets/images/doc.php
• /about/function.php
• /admin/index.php
• /.well-known/index.php

Чому блокування в самому Бітрікс неефективне

Як ми вирішили проблему

• Запит навіть не дійде до PHP та Бітрікс, навантаження на сайт менше.
• Працює для всіх сайтів на сервері одразу.
• Не залежить від IP-адреси зловмисника.

Приклад вмісту:

Блокування шкідливих файлів на будь-якій вкладеності:

 location ~* "(?x)
(/|^) (autoload_classmap\.php
| auth\.php
| atomlib\.php
| assets/images/doc\.php
| asasx\.php
| as\.php
| alfa\.php
| al\.php
| akc\.php
| adminfuns\.php
| admin/index\.php
| admin/function\.php
| admin/admin\.php
| admin\.php
| about/function\.php
| about/Geforce\.php
| about\.php
| 87\.php
| 13k\.php
| 12\.php
| ee\.php
| 10\.php
| edit\.php
| dropdown\.php
| doc\.php
| content\.php
| composer\.php
| classsmtps\.php
| chosen\.php
| blog\.php
| ay\.php
| av\.php
| avaa\.php
| adminer\.php
| alfanew\.php
)$" {
deny all;
return 403;
}

Блокування цілих розділів на сайті через NGINX

 # Блокировка папок wp-includes, wp-content, wp-admin и assets на любой вложенности
location ~* "(?x)
/(
wp-includes
| wp-content
| wp-admin
| assets
)/" {
deny all;
return 403;
}

• location ~* — реєстронезалежний регулярний вираз.
• (wp-includes|wp-content|wp-admin|assets) — список папок, що блокуються.
• / Наприкінці - гарантує, що правило спрацює саме на папку, а не на частину імені файлу.
• deny all; return 403; - Забороняє доступ і повертає код відповіді HTTP 403 (Forbidden).

Топ шкідливих запитів до сайту

Додатковий захист: fail2ban

Плюси fail2ban:

1. Автоматична реакція на підозрілі активності.
2. Гнучкі налаштування фільтрів.
3. Блокування не тільки для Інтернету, але і для SSH, FTP та інших сервісів.

Використання Cloudflare

1. Захищати від DDoS-атак.
2. Обмежувати частоту запитів (Rate Limiting).
3. Автоматично блокувати підозрілих роботів.

Рекомендації щодо захисту Bitrix-сайту

1. Налаштуйте блокування шкідливих файлів та шляхів через NGINX.
2. Використовуйте fail2ban для автоматичного блокування IP за логами.
3. Якщо можливо, підключіть Cloudflare.
4. Регулярно оновлюйте Bitrix та PHP.
5. Видаляйте модулі та скрипти, які не використовуються.
6. Періодично перевіряйте сайт на наявність шкідливого коду.

Підсумок