A versão On-premise do Bitrix24 funciona na infraestrutura da empresa, por isso é necessário proteger seus servidores, a rede e os dispositivos dos colaboradores. Ferramentas externas de segurança ajudam a bloquear solicitações suspeitas, verificar arquivos enviados em busca de vírus, evitar vazamentos de dados corporativos e identificar tentativas de invasão.

Quais são as formas de proteção adicional

O conjunto de ferramentas depende dos dados da empresa, das formas de acesso dos colaboradores ao Bitrix24 e dos requisitos de proteção das informações. Um especialista em segurança da informação da empresa ou um parceiro Bitrix24 pode conectar as ferramentas de segurança ao Bitrix24.

Verificação de solicitações de rede ao Bitrix24 (WAF)

O firewall de aplicações web (WAF) verifica as solicitações ao Bitrix24 e rejeita as suspeitas antes que cheguem ao servidor. Por exemplo, ele rejeita uma solicitação que tenta inserir código malicioso por meio de um formulário na página.

O WAF é instalado antes dos servidores web: os usuários se conectam ao WAF, e os servidores do Bitrix24 aceitam apenas solicitações vindas dele. A arquitetura do seu Bitrix24 pode incluir servidores adicionais, como o Push&Pull para mensagens instantâneas. Por isso, ao integrar o WAF, é necessário configurar o roteamento correto do tráfego. Também é importante considerar o desempenho do WAF e configurar exceções para chamadas de vídeo e outros serviços de streaming de alta demanda.

O que é importante saber:

• Comece pelo modo de monitoramento. O WAF funciona em dois modos: no modo de monitoramento, ele apenas registra as solicitações suspeitas; no modo de bloqueio, ele as rejeita. Isso ajuda a entender quais ações dos colaboradores o firewall considera perigosas por engano e a configurar exceções.
• Configure regras para formulários de login, a seção de administração, upload de arquivos e integrações. As regras devem proteger esses pontos sem bloquear o upload de arquivos, a troca de dados com integrações e as tarefas em segundo plano.
• Restrinja o acesso à seção de administração. O ideal é liberá-la apenas pela rede interna da empresa ou por uma conexão segura (VPN).
• Mantenha registros das ocorrências. Reúna-os com outros eventos de segurança, por exemplo, em um SIEM (veja abaixo). Isso facilita a análise de incidentes.

O WAF externo pode ser usado em conjunto com o Filtro Proativo. O Filtro Proativo está incluído no Bitrix24 e considera as particularidades do seu funcionamento.
Como ativar o Filtro Proativo

Se não for possível atualizar o Bitrix24 imediatamente, o WAF ajuda a bloquear parte dos ataques que exploram vulnerabilidades conhecidas. Ainda assim, é necessário instalar a atualização: o WAF não corrige vulnerabilidades nem garante proteção total.

Verificação de arquivos em busca de vírus

Para evitar que arquivos infectados cheguem a outros usuários, instale um antivírus no servidor. Ele verificará documentos, imagens e arquivos compactados enviados pelos colaboradores ao Bitrix24.

O que é importante saber:

• Use um antivírus para os arquivos enviados. A verificação de arquivos compactados pode deixar o sistema mais lento, por isso é possível configurar a profundidade da verificação e o tamanho máximo dos arquivos compactados.
• Para os arquivos do próprio Bitrix24 e das customizações, use controle de integridade, verificação de alterações e varredura agendada.
• Crie exceções apenas para dados de serviço. Isso inclui, por exemplo, arquivos temporários (cache) e logs. Nesse caso, apenas a conta de sistema deve ter permissão para gravar e alterar esses dados.

Prevenção de vazamento de dados (DLP)

A ferramenta de prevenção de vazamento de dados (DLP) monitora para que informações importantes não saiam dos limites da empresa. Por exemplo, ao integrar o Bitrix24, o DLP pode detectar ou bloquear uma tentativa de enviar um e-mail com a base de clientes para um endereço pessoal.

O que é importante saber:

• Antes de escolher um DLP, defina quais dados são importantes para a empresa e por quais canais os colaboradores os compartilham.
• Dependendo da solução, o DLP pode controlar o envio de e-mails, o salvamento de arquivos ou a exportação de dados do Bitrix24.
• É possível conectar o DLP de duas formas: por uma solução pronta do fornecedor do DLP ou por uma customização feita por um parceiro.

Coleta e análise de eventos de segurança (SIEM)

O SIEM reúne eventos de segurança de diferentes serviços da empresa em um só lugar. Isso ajuda a identificar mais rapidamente atividades suspeitas, como várias tentativas de login malsucedidas, e a analisar incidentes.

Quais dados do Bitrix24 são enviados ao SIEM:

• Histórico de evento — nele, o Bitrix24 registra tentativas de login, ações dos usuários e erros do sistema.
• Logs do servidor web — neles são registradas falhas que não aparecem no histórico de evento.
• Logs de atualizações e backup — ajudam a identificar alterações inesperadas em arquivos.
• Status das tarefas em segundo plano — se as tarefas travarem, as falhas podem não gerar notificações.

Para enviar esses dados ao SIEM, é necessário configurar conectores — scripts que leem os arquivos de log e enviam seus dados, geralmente pelo protocolo syslog.

Gerenciamento de contas e login único (SSO)

O gerenciamento centralizado de contas permite armazená-las em um único diretório, aplicar regras unificadas para senhas e desativar rapidamente o acesso em caso de desligamento.

Dependendo da versão e da configuração, a versão On-premise do Bitrix24 oferece ferramentas básicas:

• Integração com Active Directory e LDAP. O Active Directory e outros serviços de diretório que funcionam pelo protocolo LDAP armazenam as contas dos colaboradores da empresa. O Bitrix24 se conecta a esse diretório, sincroniza os colaboradores e, se necessário, também a estrutura da empresa.
  Integração do Bitrix24 com Active Directory e LDAP
• Login automático pelo domínio (NTLM). O colaborador que já fez login no computador de trabalho com a conta do domínio acessa o Bitrix24 sem precisar digitar a senha novamente.
• Autenticação de dois fatores.

Para outras formas de login, como por um serviço corporativo de login único, há soluções prontas no Market.
Soluções para login e registro de usuários

Gerenciamento de dispositivos móveis (MDM)

O aplicativo móvel do Bitrix24 é uma ferramenta de trabalho tão importante quanto o computador corporativo: por meio dele, os colaboradores acessam conversas, documentos, tarefas e dados do CRM. Por isso, também é importante proteger o smartphone. Para isso, use ferramentas de gerenciamento de dispositivos móveis (MDM).

O MDM permite:

• Impedir a transferência de dados de trabalho para aplicativos pessoais.
• Excluir dados de trabalho dos backups do dispositivo.
• Em caso de perda do dispositivo, revogar o acesso: remover as configurações de conexão segura com a rede da empresa (VPN), os certificados e encerrar as sessões.
• Manter no dispositivo corporativo apenas o Bitrix24 e os aplicativos necessários, como a câmera e um aplicativo para visualizar documentos.

As regras de MDM são configuradas separadamente para diferentes grupos de dispositivos: dispositivos pessoais dos colaboradores, telefones corporativos e terminais compartilhados.

O MDM não substitui as configurações do próprio Bitrix24. Mesmo que apenas o Bitrix24 funcione no telefone, ainda é necessário configurar as permissões de acesso nele.
Proteger dados no aplicativo móvel do Bitrix24

Proteção de customizações próprias

Se o Bitrix24 tiver customizações próprias, elas também precisam ser protegidas. Para isso, use as ferramentas de segurança integradas do Bitrix Framework, a plataforma em que o Bitrix24 funciona. Elas ajudam a evitar ataques comuns, como tentativas de inserir código malicioso em páginas ou em consultas ao banco de dados.
Documentação de segurança do Bitrix Framework

Como conectar ferramentas de segurança

A implementação de ferramentas externas de segurança é um projeto à parte. Não existe um modelo universal: a implementação depende da versão e da edição do Bitrix24, da rede, das integrações e dos recursos da ferramenta escolhida. O ideal é planejar o modelo com um parceiro que tenha experiência com o tipo de ferramenta de segurança necessário e com o Bitrix24. Você pode encontrar um parceiro no catálogo: no filtro Tipo de produto, selecione Versão On-premise.
Escolher um parceiro de implementação

Etapas para conectar ferramentas de segurança:

1. Reúna as informações iniciais para o parceiro. Indique quem se conecta ao Bitrix24 e de onde: pela internet ou pela rede interna. Liste quais dados são importantes para a empresa e quais integrações estão em uso.
2. Escolha as ferramentas de segurança com o parceiro. Ele comparará os recursos das soluções com os requisitos da empresa e sugerirá as mais adequadas.
3. Planeje a integração. O parceiro deve considerar as particularidades do seu ambiente de TI, as configurações dos componentes do sistema, os requisitos legais e a documentação interna de segurança da informação.
4. Realize os testes. Verifique se as ferramentas de segurança não bloqueiam ações necessárias nem deixam o Bitrix24 mais lento. Por exemplo, mantenha o WAF no modo de monitoramento por algumas semanas e analise todos os falsos positivos. Se não houver um servidor de teste, converse com o parceiro sobre onde realizar a verificação.
5. Coloque a solução em produção. Ajuste regularmente as configurações e as regras de funcionamento das ferramentas de segurança conforme as mudanças na infraestrutura de TI.

Ao final do projeto, você deve ter a documentação do modelo de segurança, os resultados dos testes e as instruções para os administradores.