signalfort · снаружи
Битрикс в интернете: что видно с периметра
Типовой RU-стек: витрина на Битрикс, рядом стенды и сервисы. Смотрим снаружи — что светится, что просрочено, что совпало с дырами.
- ✓Витрины и админки с интернета
- ✓Версии и сигнатуры без логина
- ✓Стенды на поддоменах
- ✓Сверка с CVE и БДУ
Сервис в цифрах
Ничего не ставим на сервер. Укажите домен — и проверка начинается.
Типичный периметр
Боевой сайт, тестовая копия, иногда панель «на пару дней». Подрядчики разные — поверхность одна.
- —Админка или тестовая копия торчит в интернет
- —Версия читается без логина
- —HTTPS на витрине просрочен
- —Новый лендинг на поддомене без учёта ИБ
Что смотрим
Только то, что доступно снаружи — как у посетителя или злоумышленника.
Витрины и админки
Публичные зоны, до которых можно достучаться без VPN.
Версии и сигнатуры
То, что читается без логина и сверяется с фидами.
Стенды
Поддомены с копиями и «временными» контурами.
Гигиена
HTTPS и срок домена на корне рядом с уязвимостями.
Как проверить
Self-service: домен → DNS → находки.
- 01
Укажите корень
Домен магазина или корпоративного сайта.
- 02
Подтвердите DNS
Одна TXT-запись.
- 03
Разберите ленту
Стенды, SSL, совпадения со стеком — сверху вниз.
Глубокие проверки с нагрузкой — только с явным согласием на старших тарифах
Аудит vs постоянный контур
Разовый аудит Битрикс устаревает после следующего релиза подрядчика.
- Срез на дату
- Часто нужен доступ внутрь
- Не ловит новый стенд
- Отчёт пылится
- 1.Снаружи постояннопо тарифу
- 2.Без админкинет паролей
- 3.Новые поддоменыв алертах
- 4.Сверка с фидамиCVE и БДУ
От сигнала к действию
Находка по Битрикс-периметру читается так же, как любая другая: факт, приоритет, срок.
Сигнатура или версия совпала с фидом
Обновление / закрытие стенда / подтверждение
- ·хост
- ·тип сигнала
- ·почему в приоритете
Кому заходит
Компании на Битрикс и смешанном стеке без выделенного SOC.
Интернет-магазины
Витрина = деньги; просроченный TLS и лишний стенд бьют сразу.
Корпоративные сайты
Несколько подрядчиков — одна поверхность.
Интеграторы
Показать клиенту периметр без установки агентов.
Тарифы под задачу
Гигиена периметра входит в каждый план; отличаются частота и глубина.
Радар
0 ₽
Пассивный анализ и гигиена раз в неделю. Один домен.
Контур
1 490 ₽/мес
Ежедневно, подтверждение, сроки устранения и перепроверка.
Бизнес
4 490 ₽/мес
5 доменов, сроки исправления, webhook и MCP для ИИ-помощников, отчёты ФСТЭК/CRA, глубокий анализ по согласию.
Что обычно торчит у Битрикс
Публичные установки, устаревшие модули, открытые админ-пути, тестовые копии на поддоменах без обновлений.
Снаружи это читается так же, как любой другой веб-стек: версии, ошибки, лишние сервисы рядом.
1С и смежный стек
Интересуют только сервисы, реально доступные из интернета. Внутрь контура агентов не ставим.
Если всплыла история про PHP — PHP2Shell. Про nginx / VMBitrix — NGINX Rift.
Сверка с CVE и БДУ
Битрикс и PHP-окружение попадают в ту же ленту, что nginx и остальной периметр — с KEV и EPSS, не только CVSS.
Подробнее: CVE и БДУ ФСТЭК.
С чего начать, если сайтов несколько
Подтверждайте корневые домены по очереди. Радар — один домен бесплатно; больше доменов и ежедневный мониторинг — на Контуре и Бизнесе.
Открыть бесплатную проверку.
Частые вопросы
Нужен ли доступ в админку Битрикс?
Нет. Смотрим снаружи. Глубокие проверки с нагрузкой — только с явным согласием на старших тарифах.
Вы ищете только Битрикс?
Нет. Битрикс и 1С — частый RU-стек; рядом nginx, PHP, почта, стенды и HTTPS.
Это пентест магазина?
Нет. Это управление тем, что видно снаружи: инвентарь, сверка, безопасное подтверждение. Не bug bounty и не «взлом под ключ».
Поможете с обновлением Битрикс?
Покажем, что видно снаружи и что совпало с фидами. Само обновление и разработку делает ваша команда или подрядчик.