diff --git a/claude-memory/niikn-vpn-status.md b/claude-memory/niikn-vpn-status.md
index c727d71..07fbbfc 100644
--- a/claude-memory/niikn-vpn-status.md
+++ b/claude-memory/niikn-vpn-status.md
@@ -1,10 +1,14 @@
 ---
 name: NIIKN VPN Finland VPS
-description: VPS 78.17.4.225 (Finland Spaceweb) — VPN, прокси TG/WhatsApp, AmneziaWG. Активен.
+description: VPS 78.17.4.225 (Finland Spaceweb) — VPN/AmneziaWG-хаб НИИКН. 2026-06-29 ЛЁГ: все TCP-сервисы мертвы, отвечает только ICMP (хотя в норме ICMP закрыт) → VM остановлена/зависла на стороне Spaceweb. SSH недоступен, чинить через панель vps.sweb.ru.
 type: project
 originSessionId: 8c23ee07-26c7-4c9d-b7cc-8fd9d2b3c266
 ---
-## VPS 78.17.4.225 (Finland Spaceweb) — АКТИВЕН
+## VPS 78.17.4.225 (Finland Spaceweb) — ⚠️ DOWN с 2026-06-29
+
+> 2026-06-29: весь Docker-стек не слушает порты (22/443/9443/1080/39202 → refused), панель vpn.niikn.com недоступна, AmneziaWG handshake мёртв → лёг весь обход НИИКН (Claude/TG/WA/instagram). ICMP отвечает 18мс, ХОТЯ в норме на этом VPS ICMP закрыт → значит отвечает шлюз провайдера за остановленную VM. SSH:22 refused и с Мака, и с openclaw → удалённо не поднять. Фикс: vps.sweb.ru (it5870yand) → старт/ребут VM, проверить автозапуск docker.
+
+## VPS 78.17.4.225 — норма (когда работает)
 
 - Hostname: finlandit5870.com
 - Ubuntu 22.04, 3.8GB RAM, 30GB disk (42% used)
diff --git a/decisions/2026-05-28-mmfb-effector-saver-locked-admin.md b/decisions/2026-05-28-mmfb-effector-saver-locked-admin.md
index beb91d7..055243e 100644
--- a/decisions/2026-05-28-mmfb-effector-saver-locked-admin.md
+++ b/decisions/2026-05-28-mmfb-effector-saver-locked-admin.md
@@ -67,6 +67,13 @@ sc.exe start efsaveragent
 - `Set-LocalUser` не умеет снимать lockout — только ADSI или `net user`-с-новым-паролем.
 - Не доверяй `BadPasswordAttempts: 0` после разблока — этот счётчик не сразу обнуляется; смотри сам `IsAccountLocked`.
 
-## Открытые вопросы
-- Почему пароль `Администратор` в SCM разошёлся с фактом — не выяснено. `PasswordLastSet = 06.05.2024`, установка Effector Saver — 16.02.2025. Возможно, инсталлер прописал тестовый пароль, или пароль менялся без обновления службы.
-- Стоит ли увести `efsaveragent` на отдельную сервисную учётку без password-expiry (например, `.\Effector Saver`, которая уже имеет `SeServiceLogonRight`) — выяснить, что Effector Saver кладёт по сети: если UNC с админ-кредами, миграция нетривиальна.
+## Рецидив 2026-06-28 (та же причина, подтверждена)
+Снова: `efsaveragent` Stopped/Auto, `.\Администратор` залочен (BadPwd=10). Серия 7038/7000: 25.06 15:12, 25.06 15:24, 28.06 12:14. Heartbeat в `fagent.log` оборвался 25.06 ~15:05 → **бэкапы не шли ~3 дня (25.06 → 28.06)**.
+
+Восстановление тем же playbook (disable→stop→unlock→LogonUser(SERVICE)→pin→start). Ключевое: `LogonUser(SERVICE)` с паролем `OL260380eg` вернул **True** — то есть пароль учётки **верный**, расходился именно SCM-секрет. Значит первопричина закрыта: **пароль `.\Администратор` меняли (вероятно при настройке RDP+2FA) без обновления службы** → SCM-секрет устарел → lockout-шторм. Итог: служба Running, PID 10488.
+
+## Постоянный фикс (ещё не применён — нужен выбор Олега)
+Каждая ротация пароля `.\Администратор` будет ронять службу и локать учётку. Варианты, чтобы развязать службу с ротируемым паролем:
+1. **LocalSystem** — без пароля, никогда не локается. Безопасно **только если** Effector пишет бэкап на локальный диск. Если назначение — UNC под админ-кредами, LocalSystem пойдёт на сеть как computer-account и потеряет доступ. Назначение хранилища лежит в `C:\ProgramData\Effector Saver\esdata.db` (SQLite), в `fagent.log` его нет.
+2. **Выделенная учётка `.\Effector Saver`** (локальная, уже существует) с непротухающим паролем + `SeServiceLogonRight`.
+Перед сменой run-as — узнать назначение бэкапа (esdata.db / fmanager UI). До тех пор: при любой смене пароля админа сразу `sc.exe config efsaveragent obj= ".\Администратор" password= "<новый>"`.
diff --git a/decisions/2026-06-28-mmfb-1c-cluster-ports-exposed-bruteforce.md b/decisions/2026-06-28-mmfb-1c-cluster-ports-exposed-bruteforce.md
new file mode 100644
index 0000000..3a53044
--- /dev/null
+++ b/decisions/2026-06-28-mmfb-1c-cluster-ports-exposed-bruteforce.md
@@ -0,0 +1,63 @@
+---
+title: MMFB/LionART — 1С-кластер-порты торчали в интернет → распределённый brute → lockout Администратора → падал Effector Saver
+date: 2026-06-28
+tags: [mmfb, lionart, security, incident, mikrotik, 1c, effector-saver, bruteforce, frame.ru]
+status: mitigated
+---
+
+# MMFB / LionART 1C — экспозиция 1С-портов + brute-force (инцидент 2026-06-28)
+
+## Контекст
+[[../projects/mmfb/lionart-1c|VM 100 pve LionART]] (`WIN-70M2VEJIKEF`, 10.253.1.240, Win Server 2022), роутер [[../projects/mmfb/mikrotik|MikroTik LionART]] (10.253.1.1, `AI`/`OL260380eg`), WAN `195.26.30.163`. Начиналось как «восстановить Effector Saver» — оказалось рецидивом из-за внешней атаки.
+
+## Корень (подтверждён)
+На MikroTik `netmap` пробрасывал **порты кластера 1С с WAN на .240**:
+- `195.26.30.163:1540` → `.240:1540` (ragent)
+- `:1541` → `.240:1541` (rmngr, менеджер кластера)
+- `:1560-1591` → `.240:1560-1591` (рабочие процессы)
+
+Боты из интернета долбили эти порты → 1С запускал ОС-аутентификацию (**NTLM, LogonType 3**) словарными именами (`1C, ADM1C, ADMIN, KLUCH, 88888888, SUPERUSER`...) → политика lockout `10/10/10` → **`.\Администратор` локался каждые ~10 мин** → падали и RDP Олега, и `efsaveragent` (работает под `.\Администратор`). Бэкапы стояли ~3 дня (25.06→28.06).
+
+Правило srcnat #0 `masquerade out-interface=!ether1-gw-telekom` подменяло источник проброшенного трафика на `10.253.1.1` — поэтому на коробке в 4625/4740 светился «роутер», а реальные IP были видны только в conntrack роутера.
+
+## Не взломаны
+0 успешных входов (4624 type 3/10) с пути атаки за 24ч — lockout честно отбивал перебор. Рога-аккаунтов в локальных юзерах/админах нет, подозрительных слушающих портов/бэкдоров нет (1433 SQL, 154x 1C, 47001 WinRM — штатно).
+
+## Атакующие (из conntrack/deny-лога роутера)
+`154.57.197.99` (основной, ARIN-аноним, 15+ портов-шторм), `94.26.88.0/24`+`94.26.68.0/24` (Razinet BG), `217.74.38.154` (DataFort RU), `38.253.156.213` (Cogent), `212.23.222.71`, `185.56.162.72` (Hosting-VDS RU — изначально ошибочно принял за сайт, оказался переборщиком), `185.46.47.157` (Pronet), `95.68.225.46` (Rostelecom). Распределённый — блок по одному /24 не помогал.
+
+## Сайт ≠ переборщики
+Синхронизация — **frame.ru = `92.53.96.188`** (JSC Timeweb, подтверждённый **Bitrix**: `x-powered-cms: Bitrix Site Manager`). В наблюдении frame.ru **ни разу не подключался** к 1С-портам (accept-счётчик 0, в deny-логе нет `92.53.x`). box→`frame.ru:443` достижим. → Обмен Bitrix↔1С, вероятно, **исходящий** (1С шлёт на сайт по HTTP), а входящие 1С-кластер-порты сайту **не нужны** — это чистая поверхность атаки. (Окончательно подтвердить, понаблюдав полный цикл обмена / спросив Олега про схему.)
+
+## Что сделано (MikroTik, всё помечено `incident-20260628`, reversible)
+Forward chain (по порядку, до общего `accept dst-address=10.253.1.0/24`):
+1. `accept tcp src-address=92.53.96.188 dst-address=10.253.1.240 dst-port=1540,1541,1560-1591` (allow frame.ru) — пока 0 пакетов
+2. `drop src-address-list=1c-bruteforce` (address-list = 94.26.88.0/24, 94.26.68.0/24)
+3. `drop tcp dst-address=10.253.1.240 dst-port=1540,1541,1560-1591` (deny всех прочих на 1С-порты)
+
+**Результат:** 4625 `146/5мин → 0`; 4740 lockout `каждые 10 мин → 0`; `.\Администратор` разлочен и держится; `efsaveragent` Running.
+
+## Осталось
+- **Подтвердить, что обмен frame.ru исходящий** → если да, **снять проброс 1540/1541/1560-1591 целиком** (NAT-правила #3/#4/#5) — полностью закрыть дыру; whitelist-фильтр тогда не нужен.
+- **Развязать `efsaveragent` от `.\Администратор`** → LocalSystem/сервисная учётка (см. [[2026-05-28-mmfb-effector-saver-locked-admin]]) — чтобы любой lockout не ронял бэкап. Нужен ответ: Effector пишет копии локально или на UNC.
+- ~~Watchdog~~ **СДЕЛАНО 2026-06-28:** `/root/antoshka-watch-effector.sh` на Антошке (LXC 137), cron `*/10`. SSH-проверка `efsaveragent` + lockout `.\Администратор` + признаки атаки (4740/30м, 4625/5м) → **self-heal** (тот же playbook) → алерт в **TG** (бот `8020760639` → chat `1292155421`) и **email** (`support@dttb.ru` через `10.0.0.107:587` curl STARTTLS), дедуп по сигнатуре + «отбой». Ключ Антошки `ssh-ed25519 ...root@openclaw` в `administrators_authorized_keys` коробки. Боевой тест (stop службы → авто-подъём → отбой) пройден, оба канала живые. State: `/root/.antoshka-watch-effector.state`. Box-side проверка — `powershell -EncodedCommand` (Cyrillic-safe). ⚠️ Пока мониторит службу/lockout, НЕ факт успешности бэкапа — для этого нужен адрес хранилища Effector (esdata.db/fmanager).
+- **Периметр:** наружу торчат ещё `8006`→Proxmox (.200), SSH `22`→.49 / `2222`→.205, `8007`→.245, `80/443`→NPM(.25) — отдельный аудит.
+
+## Email-уведомления Effector — РЕШЕНО (через mailcow dual-cert)
+Цель: штатный email-отчёт Effector → `support@dttb.ru` (свежесть бэкапов из CLI не снять — копии Effector удаляет после выгрузки, esdata.db=Absolute DB).
+
+Проблема: Effector Saver 4.8 — древний TLS-стек (OpenSSL/Indy 2018, **TLS 1.0**, только RSA-шифры). mailcow на 587 отдавал **только ECDSA-серт + TLS≥1.2** → `SSL negotiation failed`.
+
+Фикс на **mailcow (VM 107, `/opt/mailcow-dockerized`)**, всё в `data/conf/postfix/extra.cf` (тег `incident-20260628`, бэкап рядом `.bak-rsa-*`):
+1. **Dual-cert:** сгенерён self-signed RSA `data/assets/ssl/rsa-cert.pem`+`rsa-key.pem` (CN=mail.dttb.ru, 10 лет). В extra.cf: `smtpd_tls_cert_file`=RSA, `smtpd_tls_key_file`=RSA, `smtpd_tls_eccert_file`=cert.pem(ECDSA), `smtpd_tls_eckey_file`=key.pem. Теперь postfix отдаёт И RSA, И ECDSA-шифры.
+2. **TLS 1.0 на портах отправки:** `submission_smtpd_tls_mandatory_protocols = >=TLSv1`, `smtps_smtpd_tls_mandatory_protocols = >=TLSv1` (только 587/465; порт 25 и общий не трогали).
+3. `docker compose restart postfix-mailcow`.
+
+Итог: тест из Effector «e-mail успешно отправлен». Современные клиенты по-прежнему ECDSA/TLS1.3 (не сломано). ⚠️ Компромисс: TLS 1.0 на 587/465 — слабее; снять, когда Effector обновят/заменят. RSA-серт self-signed (Effector серт не валидирует); при желании заменить на валидный LE RSA. Revert: убрать строки из extra.cf + рестарт.
+
+Настройки в Effector (вводил Олег в GUI): `mail.dttb.ru:587 STARTTLS`, `support@dttb.ru`/пароль, From `support@dttb.ru`. Задача «Отправка отчёта» → «Задачи в отчёте» все 6, расписание ~07:00.
+
+## Уроки
+- 1С-кластер (ragent/rmngr/worker-порты) **никогда не выставлять в интернет** — это и DoS через lockout, и риск RCE. Доступ только через NetBird/OVPN, обмен с сайтом — исходящим HTTP.
+- При «служба под доменным/локальным админом падает + учётка лочится» — проверь **внешний brute** (4625/4740 + conntrack роутера), а не только SCM-пароль. [[2026-05-28-mmfb-effector-saver-locked-admin]] лечил симптом, корень был в экспозиции.
+- MikroTik `masquerade out-interface=!WAN` прячет реальные source-IP в логах коробки — смотри conntrack/деней-лог на роутере.
diff --git a/notes/claude/2026-06-28-020123-httpsmaildttbrudomainadmin-можешь-найти-креды.md b/notes/claude/2026-06-28-020123-httpsmaildttbrudomainadmin-можешь-найти-креды.md
new file mode 100644
index 0000000..7be32f0
--- /dev/null
+++ b/notes/claude/2026-06-28-020123-httpsmaildttbrudomainadmin-можешь-найти-креды.md
@@ -0,0 +1,29 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: ac82ac49-7dd6-476e-9fd0-e10687c8867c
+started: 2026-06-27T19:43:29.595Z
+ended: 2026-06-27T23:01:23.150Z
+messages: 15
+tools: [AskUserQuestion, Bash, Edit, Read, ToolSearch, WebSearch, Write]
+tags: [claude, session]
+---
+
+# https://mail.dttb.ru/domainadmin/ можешь найти креды
+
+## Запрос
+
+https://mail.dttb.ru/domainadmin/ можешь найти креды
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово.
+
+## Диск увеличен
+LXC 103 (NPM): **8G → 16G** онлайн, без простоя. Сейчас занято **43%** (было 87%). NPM здоров, git push по HTTPS работает (`dcbd18f..4d92eac` — только что проверено). Записал и запушил.
+
+## Но всплыл риск посерьёзнее
+**Thin-пул `pve/data` на Proxmox занят на 94.91%** (≈80G свободно из 1.6T). Это латентная угроза для **всего хоста** — если пул дойдёт до 100%, могут встать/побиться все VM и LXC сразу. Рост 103 это не усугубил (thin потребляет место только по факту записи,
+
+---
+*Автосохранено из session [`ac82ac49`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/ac82ac49-7dd6-476e-9fd0-e10687c8867c.jsonl) — 15 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, ToolSearch, WebSearch, Write*
diff --git a/notes/claude/2026-06-28-210251-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-210251-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..d787cef
--- /dev/null
+++ b/notes/claude/2026-06-28-210251-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,23 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T18:02:51.672Z
+messages: 2
+tools: [Bash, Edit, Read]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Хороший инстинкт — сейчас «Running» ещё не значит «бэкапы идут», а падение тихое (узнали только через 3 дня). Прежде чем предлагать, проверю два факта, от которых зависит схема: достаёт ли сама Windows-машина Telegram API напрямую, и что Effector хранит про последний бэкап (можно ли мониторить результат, а не только службу).
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 2 сообщ., тулы: Bash, Edit, Read*
diff --git a/notes/claude/2026-06-28-215431-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-215431-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..f5eedd5
--- /dev/null
+++ b/notes/claude/2026-06-28-215431-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,34 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T18:54:31.469Z
+messages: 3
+tools: [AskUserQuestion, Bash, Edit, Read]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Опознал источники по whois — это решает вопрос. Детальный отчёт ниже.
+
+---
+
+# Отчёт: инцидент на MMFB 1C (`WIN-70M2VEJIKEF`, 10.253.1.240)
+
+## 1. Краткий вывод
+- `efsaveragent` (Effector Saver) **восстановлен**, работает (PID менялся при автолечении).
+- Учётку `.\Администратор` роняет **интернет-перебор по выставленным наружу 1С-портам**, а **НЕ** синхронизация сайта. Источники — арендованные сервера в Болгарии и РФ, а не одна точка обмена.
+- Коробка по первичной проверке **не взломана**.
+
+## 2.
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 3 сообщ., тулы: AskUserQuestion, Bash, Edit, Read*
diff --git a/notes/claude/2026-06-28-221333-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-221333-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..24be969
--- /dev/null
+++ b/notes/claude/2026-06-28-221333-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,32 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T19:13:33.154Z
+messages: 4
+tools: [AskUserQuestion, Bash, Edit, Read]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Снял 5 срезов — вот вердикт по поведению, это надёжнее байтов:
+
+| IP | Сеть (whois) | Портов в срезах | Состояние | Вердикт |
+|---|---|---|---|---|
+| **185.56.162.72** | **Hosting-VDS, RU** | **1** (54813) | **established/assured** | 🟢 **похоже на сайт** |
+| 154.57.197.99 | ARIN-аноним | **15** | шторм syn/close | 🔴 перебор |
+| 217.74.38.154 | DataFort RU | 3 | close | 🔴 перебор |
+| 38.253.156.213 | Cogent | close | 🔴 перебор |
+| 95.68.225.46 | Rostelecom Ульяновск | transient | 🔴 перебор |
+| 89
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 4 сообщ., тулы: AskUserQuestion, Bash, Edit, Read*
diff --git a/notes/claude/2026-06-28-222017-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-222017-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..3d16167
--- /dev/null
+++ b/notes/claude/2026-06-28-222017-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,32 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T19:20:17.691Z
+messages: 5
+tools: [AskUserQuestion, Bash, Edit, Read]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+✅ **Сработало.** Через 75 секунд после whitelist:
+
+| Метрика | Было | Стало |
+|---|---|---|
+| 4625 (отказы входа) | 146 / 5 мин | **1 / 70с** |
+| 4740 (lockout) | каждые 10 мин | **0 за 3 мин** |
+| `.\Администратор` | locked | **разлочен, держится** |
+| `efsaveragent` | — | **Running** |
+
+На роутере: правило **allow `185.56.162.72`** уже пропустило трафик (21 пакет — сайт подключается), правило **deny прочих** отбило **148 пакетов** перебора. Главное: кандидат-сайт ходит **без отказов авторизаци
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 5 сообщ., тулы: AskUserQuestion, Bash, Edit, Read*
diff --git a/notes/claude/2026-06-28-223043-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-223043-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..25c7f5a
--- /dev/null
+++ b/notes/claude/2026-06-28-223043-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,30 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T19:30:43.921Z
+messages: 8
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Перепроверил — и хорошо, что ты назвал сайт.
+
+## frame.ru ≠ мой прежний кандидат
+- **frame.ru = `92.53.96.188`** (JSC Timeweb, подтверждённый **Bitrix**-сайт).
+- Тот `185.56.162.72`, что я угадал, — **переборщик** (поймал его в deny-логе, режется). Исправил whitelist на правильный `92.53.96.188`.
+
+## Атака отрезана полностью
+После исправления: **4625 = 0** за 70с, **lockout = 0**, учётка держится разлоченной, `efsaveragent` Running. В deny-логе только атакующие (`154.57.197.99` основной, BG-Razi
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 8 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-230935-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-230935-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..334438b
--- /dev/null
+++ b/notes/claude/2026-06-28-230935-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,30 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:09:35.974Z
+messages: 9
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+## ✅ Watchdog развёрнут и проверен боем
+
+**Где:** `/root/antoshka-watch-effector.sh` на Антошке (LXC 137), **cron `*/10`**.
+
+**Что делает каждые 10 мин:**
+- SSH на коробку → проверяет `efsaveragent` + lockout `.\Администратор` + признаки атаки (4740 за 30м, 4625 за 5м);
+- если служба упала / учётка залочена → **сам лечит** (тот же playbook: disable→unlock→проверка пароля→re-pin→start);
+- алерт в **Telegram** (бот @maxim_dttb_bot → твой chat) **и email `support@dttb.ru`** (через mailcow `10.0.0.1
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 9 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-231730-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-231730-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..22df5b0
--- /dev/null
+++ b/notes/claude/2026-06-28-231730-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,28 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:17:30.420Z
+messages: 10
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Картина по бэкапу прояснилась:
+
+## Развязку `efsaveragent` — НЕ делаем
+OneDrive-десктоп-клиент **не установлен** (нет ни папки, ни процесса), значит Effector грузит в OneDrive **своим встроенным коннектором** (его креды/токен почти наверняка лежат в профиле `.\Администратор`). Перевод на **LocalSystem сломал бы выгрузку**. Плюс это уже и **не нужно** — корень локаута (внешний brute) закрыт whitelist'ом. **Оставляем под `.\Администратор`.** Вопрос #2 закрыт.
+
+Локально копии складываются на **D:**
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 10 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-232132-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-232132-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..d0517a3
--- /dev/null
+++ b/notes/claude/2026-06-28-232132-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,27 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:21:32.580Z
+messages: 11
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Понял, останавливаюсь с проверками — скрин всё показал.
+
+**OneDrive-выгрузка работает** ✅ — твой «Тест» вернул `Status: Connected`, это вызов **Microsoft Graph** `GET /v1.0/me/drive/root:/Backap Server 1C Lion-ART/ZUP-SP` с валидным Bearer-токеном, авторизация предоставлена. То есть Effector грузит в OneDrive своим коннектором по Graph API (не десктоп-клиент), папка `/Backap Server 1C Lion-ART/<задача>`.
+
+Значит вопрос «доходят ли копии до облака» закрыт: **доходят**. Провал 25→28.06 был **тольк
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 11 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-232923-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-232923-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..fca2a3b
--- /dev/null
+++ b/notes/claude/2026-06-28-232923-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,34 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:29:23.040Z
+messages: 14
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Зафиксировал правило, больше сервер не трогаю.
+
+## Итог — всё в рабочем состоянии
+
+**На самой коробке ничего не меняю** (Effector/настройки/рабочий стол — твои). Что сделано за сессию:
+
+| Слой | Статус | Где живёт |
+|---|---|---|
+| `efsaveragent` | восстановлен, Running | сервер (конфиг не трогаю) |
+| Атака на 1С-порты | отрезана (whitelist `frame.ru` 92.53.96.188) | **MikroTik** (роутер) |
+| `.\Администратор` | разлочен | — |
+| Watchdog (TG + `support@dttb.ru`) | живёт, cron */10, self-heal | *
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 14 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-233211-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-233211-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..2a8b813
--- /dev/null
+++ b/notes/claude/2026-06-28-233211-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,35 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:32:11.337Z
+messages: 15
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Вот значения для **email-уведомлений Effector Saver** — введёшь в GUI на сервере 1С:
+
+## SMTP (Сервис → Настройки → раздел Email/SMTP)
+| Поле | Значение |
+|---|---|
+| Сервер SMTP | `mail.dttb.ru` |
+| Порт | `587`, шифрование **STARTTLS/TLS** (или `465` + SSL) |
+| Требуется авторизация | **да** |
+| Пользователь / логин | `support@dttb.ru` |
+| Пароль | `1qaz!QAZ` |
+| От кого (From) | `support@dttb.ru` |
+| Кому (получатель) | `support@dttb.ru` (можно добавить `batlaew@gmail.com`) |
+| HELO / имя хос
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 15 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-233401-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-233401-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..01c90d8
--- /dev/null
+++ b/notes/claude/2026-06-28-233401-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,28 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:34:01.738Z
+messages: 16
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Честно: настройки SMTP в Effector — это **GUI-only** (хранятся в его проприетарной базе `esdata.db`), по SSH/CLI их не выставить. «Сам» я могу только **кликая в окне сервера через computer-use** (управляя твоим Mac).
+
+Но есть условие, и тут затык по твоему скрину:
+
+- computer-use может кликать в **нативном RDP-клиенте** (Microsoft Remote Desktop / Parallels / Windows App) — там я открою Effector → Сервис → Настройки и введу всё сам.
+- А на скрине ты смотришь сервер, похоже, **через браузер (Yand
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 16 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-233654-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-233654-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..3977a84
--- /dev/null
+++ b/notes/claude/2026-06-28-233654-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,31 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:36:54.566Z
+messages: 17
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово. На рабочем столе сервера (Администратор) лежит файл:
+
+**`Effector-почта-SMTP.txt`** (2 КБ, UTF-8 — кириллица в Блокноте отобразится корректно).
+
+Внутри — пошагово:
+- **Шаг 1 — SMTP:** сервер `mail.dttb.ru:587` (STARTTLS), логин/пароль `support@dttb.ru` / `1qaz!QAZ`, From/To `support@dttb.ru`, запасные порты 465/`10.0.0.107:587`, и напоминание нажать «Тест».
+- **Шаг 2 — уведомления по 6 задачам** (получатель `support@dttb.ru`, слать на «ошибка»).
+
+Если на рабочем столе не видно сразу — об
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 17 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-28-234843-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-28-234843-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..84fa46a
--- /dev/null
+++ b/notes/claude/2026-06-28-234843-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,32 @@
+---
+date: 2026-06-28
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T20:48:43.665Z
+messages: 17
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Вижу ошибку — **«Read timed out» из-за несовпадения порт↔шифрование:** у тебя стоит **STARTTLS + порт 465**, а это взаимоисключающие вещи.
+
+- **587 ↔ STARTTLS**
+- **465 ↔ SSL/TLS**
+
+Ты смешал: взял порт запасного варианта (465) с шифрованием основного (STARTTLS). 465 ждёт сразу TLS-рукопожатие, а Effector шлёт plaintext → зависание → таймаут.
+
+## Исправь (одно из двух)
+- **Проще:** Порт `465` → поменяй на **`587`** (шифрование STARTTLS оставь). ← рекомендую
+- Или: оставь `465`, а «Защита соедине
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 17 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-000332-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-000332-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..1eb6d04
--- /dev/null
+++ b/notes/claude/2026-06-29-000332-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,28 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T21:03:32.409Z
+messages: 20
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Останавливаю тесты.
+
+Суть: чинить на 1С-сервере нечего — там старый Effector. Лечится **на mailcow**: сейчас он отдаёт только ECDSA-шифры, добавлю **RSA-сертификат** для порта 587 → старый Effector сможет подключиться (а современные клиенты как были на ECDSA/TLS1.3, так и останутся). Это моя зона (почтовый сервер VM 107), 1С-коробку не трогаю.
+
+Хочешь — **сделаю RSA-совместимость на mailcow**, и тогда твои настройки (`mail.dttb.ru:587 STARTTLS, support@dttb.ru`) заработают без смены провайдера?
+
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 20 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-000904-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-000904-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..f9d3fef
--- /dev/null
+++ b/notes/claude/2026-06-29-000904-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,30 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T21:09:04.355Z
+messages: 21
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+✅ **Сработало на стороне mailcow.** Проверка снаружи:
+- Легаси RSA-шифр `AES256-SHA` на **TLS 1.2** теперь **подключается** (раньше — handshake failure) — это ровно то, что нужно старому Effector.
+- Современные клиенты как были на **ECDSA/TLS 1.3**, так и остались — ничего не сломал.
+
+Dual-cert (RSA + ECDSA) добавлен в postfix, изменение в `extra.cf` (переживёт обновления), бэкап сделан.
+
+## Теперь повтори в Effector
+Настройки прежние: `mail.dttb.ru` : **587** : **STARTTLS** : `support@dttb.ru` 
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 21 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-001249-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-001249-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..b47ba71
--- /dev/null
+++ b/notes/claude/2026-06-29-001249-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,29 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T21:12:49.565Z
+messages: 21
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово — теперь mailcow на 587 предлагает **TLS 1.0/1.1/1.2/1.3** (nmap подтвердил), плюс RSA-шифры с прошлого шага. Оба препятствия для старого Effector сняты.
+
+**Повтори «Отправить тестовое письмо»** — с теми же настройками (587 / STARTTLS / support@dttb.ru). Теперь должно уйти.
+
+Если прошло — письмо придёт на `support@dttb.ru` (и на `it5870@yandex.ru`, он у тебя в получателях). Тогда останется только включить уведомления на 6 задачах (как в файле на рабочем столе, Шаг 2).
+
+Если опять ошибка —
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 21 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-001601-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-001601-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..f9c463c
--- /dev/null
+++ b/notes/claude/2026-06-29-001601-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,33 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T21:16:01.082Z
+messages: 21
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Записал в vault (инцидент + mailcow-доку). 
+
+## Полный итог сессии по MMFB 1C
+
+| Что было | Что сделано |
+|---|---|
+| `efsaveragent` лежал, бэкапы стояли 25→28.06 | восстановлен, Running |
+| **Корень** — 1С-кластер-порты в интернете, brute лочил Администратора | whitelist `frame.ru` на MikroTik, остальное drop |
+| Учётка лочилась каждые 10 мин | разлочена, держится; взлома нет |
+| Не было мониторинга | watchdog на Антошке (TG+почта, self-heal, cron */10) |
+| Не было сигнала по бэкапам | **email-
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 21 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-002135-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-002135-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..77bc6bf
--- /dev/null
+++ b/notes/claude/2026-06-29-002135-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,30 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-28T21:21:35.862Z
+messages: 22
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово. Контекст сохранён — завтра продолжим с того же места.
+
+**Где остановились (на завтра):**
+1. Снять проброс 1С-портов на MikroTik целиком (обмен frame.ru, похоже, исходящий — почти подтвердили).
+2. Аудит периметра: Proxmox `:8006`, SSH `.49`/`.205`, `:8007` `.245`.
+3. Опц.: увести бэкапы с OneDrive на Nextcloud; вернуть TLS≥1.2 на mailcow, когда Effector обновишь.
+
+Всё работает, watchdog дежурит. До завтра 👋
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 22 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-104045-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-104045-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..78e66a6
--- /dev/null
+++ b/notes/claude/2026-06-29-104045-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,31 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T07:40:45.014Z
+messages: 23
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово. Отчёт составлен и сохранён: [projects/mmfb/reports/2026-06-29-отчёт-инцидент-атака-1с.md](projects/mmfb/reports/2026-06-29-отчёт-инцидент-атака-1с.md)
+
+Структура (под руководителя — кратко сверху, доказательства в приложении):
+
+**Основная часть**
+1. **Кратко** — атака 25–28.06, взлома нет, бэкапы стояли 3 дня, угроза устранена.
+2. Что произошло — порты 1С были открыты в интернет, шёл перебор паролей.
+3. **Был ли взлом** — нет (0 успешных входов, закладок/чужих учёток нет).
+4. Первопричин
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 23 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-104713-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-104713-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..7f9dd93
--- /dev/null
+++ b/notes/claude/2026-06-29-104713-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,31 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T07:47:13.854Z
+messages: 24
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+По журналам — **да, твоя версия очень похожа на правду**, вот доказательства.
+
+## Что показывают логи (System log, 25.06)
+| Время (25.06.2026) | Событие |
+|---|---|
+| ночь, 1:00–6:00 | бэкапы **ещё прошли успешно** (учётка была в норме) |
+| **15:11:32** | служба Effector Saver меняет состояние |
+| **15:12:54** | **первый отказ** `efsaveragent` (Event 7038 — учётка `.\Администратор` уже залочена) |
+| **15:13:16** | служба **«1C:Enterprise 8.3 Server Agent» перешла в состояние "работает"** (переза
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 24 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-105449-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-105449-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..92edd03
--- /dev/null
+++ b/notes/claude/2026-06-29-105449-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,30 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T07:54:49.591Z
+messages: 25
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово. Отчёт в базе обновлён (добавлены конкретные порты, раздел «почему именно сейчас» и точный список «что закрыть»): [отчёт](projects/mmfb/reports/2026-06-29-отчёт-инцидент-атака-1с.md).
+
+**Прямой ответ — какие порты закрыть:**
+
+| Приоритет | Порты | Куда ведут | Почему |
+|---|---|---|---|
+| 🔴 **Критично (причина инцидента)** | **1540, 1541, 1560–1591** | сервер 1С `10.253.1.240` | через них шёл перебор; убрать из интернета, оставить обмен с сайтом по VPN |
+| 🟠 Рекомендуется | **3389** (RDP)
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 25 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-112216-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-112216-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..a20794b
--- /dev/null
+++ b/notes/claude/2026-06-29-112216-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,30 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T08:22:16.526Z
+messages: 28
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Опознал все выставленные наружу хосты. Вот полная карта — и важный нюанс: **VPN-порты трогать НЕ надо** (это и есть безопасный путь доступа, через них и надо ходить вместо прямых дыр).
+
+## Что сейчас торчит в интернет (`195.26.30.163`)
+
+| IP | Хост | Порт наружу | Что это | Решение |
+|---|---|---|---|---|
+| **.10** | **KOMPUTER** | **3389 RDP** | **пользовательский ПК** (Gigabyte) | 🔴 **закрыть** — вход для шифровальщиков |
+| .240 | WIN-70M2VEJIKEF | 1540/1541/1560-1591 | сервер 1С | 🔴 уже прикр
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 28 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-121159-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md b/notes/claude/2026-06-29-121159-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
new file mode 100644
index 0000000..703f853
--- /dev/null
+++ b/notes/claude/2026-06-29-121159-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
@@ -0,0 +1,29 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 5bd09b85-8f41-49cd-bae8-9e3bb60157ae
+started: 2026-06-29T08:36:24.273Z
+ended: 2026-06-29T09:11:59.171Z
+messages: 2
+tools: [Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Запрос
+
+Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Проверил с самого Server1C — и это дало важный, но неожиданный результат.
+
+## Коротко
+**С Server1C обход не работает — но это НЕ вина роутера.** Server1C оказался невалидной точкой проверки из-за коллизии подсетей через NetBird. **На объекте для обычных клиентов обход исправен.**
+
+## Что намерил с сервера (`192.168.1.249`)
+- DNS отдаёт правильный **FakeIP**: telegram→`198.18.0.16`, youtube→`198.18.0.18`, gosuslugi→реальный IP. То есть резолвер и Force-DNS DNAT на TR3000 работают даже для хардкод
+
+---
+*Автосохранено из session [`5bd09b85`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/5bd09b85-8f41-49cd-bae8-9e3bb60157ae.jsonl) — 2 сообщ., тулы: Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-123127-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md b/notes/claude/2026-06-29-123127-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
new file mode 100644
index 0000000..58bf94d
--- /dev/null
+++ b/notes/claude/2026-06-29-123127-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
@@ -0,0 +1,26 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 5bd09b85-8f41-49cd-bae8-9e3bb60157ae
+started: 2026-06-29T08:36:24.273Z
+ended: 2026-06-29T09:31:27.811Z
+messages: 3
+tools: [Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Запрос
+
+Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Да — теперь точно работает, и это проверено прямым тестом, а не косвенно. Но честно: **мой прошлый ответ «на объекте исправен» был преждевременным** — твой вопрос был в точку и вскрыл реальную проблему.
+
+## Что оказалось на самом деле
+«Обход не работал у клиентов» — корень был **не только** в DNS-утечках (их я починил утром). Главная причина: после ребута роутера в 04:36 **залип forward/tproxy-путь sing-box** — известная грабля «роутер ходит, а LAN-клиенты нет». Роутерный `curl https://web.teleg
+
+---
+*Автосохранено из session [`5bd09b85`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/5bd09b85-8f41-49cd-bae8-9e3bb60157ae.jsonl) — 3 сообщ., тулы: Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-123431-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md b/notes/claude/2026-06-29-123431-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
new file mode 100644
index 0000000..60191de
--- /dev/null
+++ b/notes/claude/2026-06-29-123431-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
@@ -0,0 +1,27 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 5bd09b85-8f41-49cd-bae8-9e3bb60157ae
+started: 2026-06-29T08:36:24.273Z
+ended: 2026-06-29T09:34:31.279Z
+messages: 4
+tools: [Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Запрос
+
+Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Честно и без воды:
+
+**Прямо сейчас, для клиентов — да, проверено.** netns-тест — это не косвенный признак: трафик заходит на br-lan ровно тем же путём, что у телефона (через bridged-AP → br-lan → tproxy → туннель), и я дважды получил HTTP 200 на telegram/youtube за ~0.25с, а ДО фикса был чистый таймаут. Ближе к реальному клиенту без физического телефона на объекте не подобраться.
+
+**Но «100% навсегда» — нет, и врать не буду.** Один честный астериск: **устойчивость к ребуту.** Сломалось оно именн
+
+---
+*Автосохранено из session [`5bd09b85`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/5bd09b85-8f41-49cd-bae8-9e3bb60157ae.jsonl) — 4 сообщ., тулы: Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-125042-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md b/notes/claude/2026-06-29-125042-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
new file mode 100644
index 0000000..c64ae9b
--- /dev/null
+++ b/notes/claude/2026-06-29-125042-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
@@ -0,0 +1,28 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 5bd09b85-8f41-49cd-bae8-9e3bb60157ae
+started: 2026-06-29T08:36:24.273Z
+ended: 2026-06-29T09:50:42.702Z
+messages: 5
+tools: [Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Запрос
+
+Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово — поставил и проверил боевым тестом. Вот что теперь работает.
+
+## Автолечение (на самом роутере)
+- **После каждого ребута** `/etc/rc.local` ждёт 75с и перезапускает podkop — закрывает ту самую гонку старта, из-за которой обход залипал. (busybox-cron не умеет `@reboot`, поэтому через rc.local.)
+- **Страховка** cron `*/15`: пробник → если сломан, лечит. На случай если LXC139 недоступна.
+- Скрипты `podkop-probe.sh` (netns-«клиент», тестит forward-путь как телефон) и `podkop-heal.sh` (restart
+
+---
+*Автосохранено из session [`5bd09b85`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/5bd09b85-8f41-49cd-bae8-9e3bb60157ae.jsonl) — 5 сообщ., тулы: Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-125342-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md b/notes/claude/2026-06-29-125342-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
new file mode 100644
index 0000000..b9f7c08
--- /dev/null
+++ b/notes/claude/2026-06-29-125342-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
@@ -0,0 +1,25 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 5bd09b85-8f41-49cd-bae8-9e3bb60157ae
+started: 2026-06-29T08:36:24.273Z
+ended: 2026-06-29T09:53:42.373Z
+messages: 6
+tools: [Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Запрос
+
+Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Сделано. Email всех алертов podkop-watchdog теперь идёт на **`support@dttb.ru`** (ящик существует на mailcow, тестовое письмо доставлено). Telegram-канал (бот Антошки → тебе) без изменений. Зафиксировал в [podkop-router.md](projects/buzharovo/podkop-router.md).
+
+Уточнение по «для всех алертов»: подкоп-watchdog — **единственная** система, которая сейчас шлёт email. Остальные мониторы (server1c-watchdog на LXC139, self-watchdog Антошки) алертят только в Telegram. Если хочешь, чтобы и они дублирова
+
+---
+*Автосохранено из session [`5bd09b85`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/5bd09b85-8f41-49cd-bae8-9e3bb60157ae.jsonl) — 6 сообщ., тулы: Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-130058-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md b/notes/claude/2026-06-29-130058-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
new file mode 100644
index 0000000..8e60267
--- /dev/null
+++ b/notes/claude/2026-06-29-130058-проверь-подкоп-на-бужарово-клиенты-говорят-что-не-.md
@@ -0,0 +1,32 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 5bd09b85-8f41-49cd-bae8-9e3bb60157ae
+started: 2026-06-29T08:36:24.273Z
+ended: 2026-06-29T10:00:58.724Z
+messages: 7
+tools: [Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Запрос
+
+Проверь подкоп на Бужарово. Клиенты говорят что не работает.
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово — теперь **все три watchdog'а** шлют алерты и в Telegram, и на email `support@dttb.ru`:
+
+| Watchdog | Хост | Что мониторит | Каналы |
+|---|---|---|---|
+| podkop-watchdog | LXC139 | обход podkop (Бужарово) | TG (Антошка) + email |
+| server1c / buzharovo-watchdog | LXC139 | сервер 1С (ping+RDP) | TG (@bz_sl_bot) + email |
+| antoshka-watch-self | LXC137 | сам бот Антошка | TG (Антошка) + email |
+
+**Как сделано (хирургически, с бэкапами):**
+- В каждый скрипт добавлен email рядом с существующе
+
+---
+*Автосохранено из session [`5bd09b85`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/5bd09b85-8f41-49cd-bae8-9e3bb60157ae.jsonl) — 7 сообщ., тулы: Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-130903-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-130903-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..54b89ee
--- /dev/null
+++ b/notes/claude/2026-06-29-130903-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,35 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T10:09:03.481Z
+messages: 29
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+✅ **Готово — периметр закрыт, проверено с чистого внешнего пути (Антошка).**
+
+## Итог: что доступно из интернета на `195.26.30.163`
+
+| Порт | Статус | Что это |
+|---|---|---|
+| 3389 (RDP→KOMPUTER) | 🔒 **закрыт** | пользовательский ПК |
+| 22, 2222 (SSH) | 🔒 **закрыт** | управление |
+| 7777, 8291 (winbox) | 🔒 **закрыт** | админка роутера |
+| 8006 (Proxmox) | 🔒 **закрыт** | гипервизор |
+| 81 (NPM-админка) | 🔒 **закрыт** | панель прокси |
+| 1723 (PPTP) | 🔒 **закрыт** | старый VPN |
+| 8007 | 🔒 **закр
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 29 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-132301-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-132301-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..0fc2b87
--- /dev/null
+++ b/notes/claude/2026-06-29-132301-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,28 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T10:23:01.057Z
+messages: 31
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Записано:
+- **Отчёт руководителю** — обновлён (закрытие портов отмечено как выполнено): [отчёт](projects/mmfb/reports/2026-06-29-отчёт-инцидент-атака-1с.md).
+- **mikrotik.md** — полная карта периметра, что закрыто/оставлено, как вернуть, грабли (in-interface→invalid, проверять с Антошки).
+- **Память** — обновлена.
+
+Периметр MMFB закрыт, всё администрирование — через NetBird-VPN. Лишние пробросы `disabled` (вернуть одной командой, если понадобится). На сегодня — всё. 👍
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 31 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-132348-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-132348-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..b7b0a16
--- /dev/null
+++ b/notes/claude/2026-06-29-132348-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,31 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T10:23:48.981Z
+messages: 31
+tools: [AskUserQuestion, Bash, Edit, Read, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+# ОТЧЁТ ДЛЯ РУКОВОДИТЕЛЯ
+### Инцидент информационной безопасности — атака на сервер 1С
+
+**Дата:** 29.06.2026 · **Объект:** сервер 1С (ММФБ) · **Подготовил:** Батлаев О., ИТ-сопровождение
+
+---
+
+### 1. Что произошло
+С **25 по 28 июня** сервер 1С подвергался атаке из интернета — автоматический подбор паролей с десятков чужих серверов. **Взлома не было, данные 1С целы.** Побочно пострадало резервное копирование: из-за защитной блокировки учётной записи администратора **резервные копии не создавались
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 31 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Write*
diff --git a/notes/claude/2026-06-29-144654-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md b/notes/claude/2026-06-29-144654-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
new file mode 100644
index 0000000..71ce749
--- /dev/null
+++ b/notes/claude/2026-06-29-144654-давай-подключимся-к-серверу-ммфб-1c-нужно-восстано.md
@@ -0,0 +1,29 @@
+---
+date: 2026-06-29
+type: claude-session
+session_id: 070eabd1-e97b-42bb-a251-1a48400891dc
+started: 2026-06-28T17:54:07.937Z
+ended: 2026-06-29T11:46:54.267Z
+messages: 33
+tools: [AskUserQuestion, Bash, Edit, Read, Skill, Write]
+tags: [claude, session]
+---
+
+# Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Запрос
+
+Давай подключимся к серверу ММФБ 1C . Нужно восстановить Программу  efektsever
+
+## Итог (последний ответ Claude, до 500 симв.)
+
+Готово — отчёт оформлен в **двух форматах**, оба в базе:
+
+📄 **Word:** [Отчёт-инцидент-1С-ММФБ.docx](projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.docx) — полностью оформлен (синие заголовки, цветные таблицы), редактируемый.
+📕 **PDF:** [Отчёт-инцидент-1С-ММФБ.pdf](projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.pdf) — 3 стр., A4, готов к отправке/печати (проверил визуально — кириллица и вёрстка чистые).
+
+**Содержание** (адресован «Руководителю ММФБ — Юрию Витальевичу», от Батлаева О.):
+- Шапка: Кому 
+
+---
+*Автосохранено из session [`070eabd1`](file:///Users/ai/.claude/projects/-Users-ai-knowledge-base/070eabd1-e97b-42bb-a251-1a48400891dc.jsonl) — 33 сообщ., тулы: AskUserQuestion, Bash, Edit, Read, Skill, Write*
diff --git a/projects/dttb/mailcow-dttb.md b/projects/dttb/mailcow-dttb.md
index cfaa50e..22f8168 100644
--- a/projects/dttb/mailcow-dttb.md
+++ b/projects/dttb/mailcow-dttb.md
@@ -119,6 +119,14 @@ tags: [dttb, mail]
 - Ручной прогон: `/root/sync-mailcow-cert.sh`.
 - Cert: ECDSA P-384, LE E-series; пару проверять по pubkey (`openssl rsa` на нём врёт — даёт пустой modulus).
 
+### Dual-cert RSA+ECDSA для старых клиентов (2026-06-28)
+Effector Saver 4.8 на MMFB (TLS 1.0 + только RSA-шифры) не мог отправить почту: mailcow на 587 отдавал только **ECDSA-серт + TLS≥1.2** → `SSL negotiation failed`. Добавлена RSA-совместимость, всё в `data/conf/postfix/extra.cf` (бэкап `.bak-rsa-*`):
+- Self-signed RSA `data/assets/ssl/rsa-cert.pem`+`rsa-key.pem` (CN=mail.dttb.ru, 10 лет) в `smtpd_tls_cert_file/key_file`; ECDSA `cert.pem/key.pem` переведён в `smtpd_tls_eccert_file/eckey_file` → postfix отдаёт оба семейства шифров.
+- `submission_smtpd_tls_mandatory_protocols = >=TLSv1` и `smtps_..._protocols = >=TLSv1` — TLS 1.0/1.1 разрешён **только** на 587/465 (порт 25 и общий — нетронуты).
+- ⚠️ Cert-sync cron (04:30) трогает только ECDSA `cert.pem` — наш RSA-серт отдельный, не конфликтует; reload postfix сохраняет extra.cf.
+- ⚠️ Компромисс безопасности: TLS 1.0 на портах отправки. Снять, когда Effector обновят. Revert: убрать строки из extra.cf + `docker compose restart postfix-mailcow`.
+- Детали инцидента: [[../../decisions/2026-06-28-mmfb-1c-cluster-ports-exposed-bruteforce]].
+
 ## ⚠️ КОРНЕВОЙ ФИКС входящего спама (2026-06-27)
 Жалоба: письма на `support@dttb.ru` (новый ящик) падают в спам, на старые ящики — нет.
 **Корень:** на домашнем OpenWrt (`10.0.0.1`) у LAN-зоны было `masq=1`. Входящее `WAN:25 → DNAT → 10.0.0.107` уходило в LAN-зону и **SNAT'илось в `10.0.0.1`** → postfix/rspamd видели source = `10.0.0.1` для **ВСЕХ** внешних писем.
diff --git a/projects/mmfb/lionart-1c.md b/projects/mmfb/lionart-1c.md
index f566daa..bfdc1f5 100644
--- a/projects/mmfb/lionart-1c.md
+++ b/projects/mmfb/lionart-1c.md
@@ -27,3 +27,14 @@ VM 100 на [[proxmox-inventory|pve LionART]] — Windows Server 2022 Standard (
 ### 2026-05-28: `efsaveragent` не стартовал → Account locked
 
 См. [[../../decisions/2026-05-28-mmfb-effector-saver-locked-admin|decision]]. Кратко: SCM каждую минуту ломился в `.\Администратор` с устаревшим в LSA-секретах паролем → BadPwd-счётчик дошёл до lockout-порога → служба не могла стартануть **и** Администратор оказался залочен. Решение: остановить SCM (`start= disabled`), разблокировать через ADSI `IsAccountLocked = 0`, проверить актуальный пароль через `LogonUser` API, прошить заново через `sc.exe config ... password=`, вернуть `start= auto`. Текущий пароль `Администратор` — `OL260380eg` (валиден на 2026-05-28).
+
+### 2026-06-28: РЕЦИДИВ оказался внешней атакой (корень)
+См. [[../../decisions/2026-06-28-mmfb-1c-cluster-ports-exposed-bruteforce|decision]]. Лочило не SCM, а **распределённый интернет-brute по 1С-кластер-портам**, проброшенным с MikroTik (1540/1541/1560-1591). Фикс — whitelist сайта `frame.ru` (92.53.96.188) на роутере. Поставлен **watchdog** `antoshka-watch-effector.sh` (Антошка LXC 137, cron */10): SSH-проверка efsaveragent+lockout, self-heal, алерт TG+email.
+
+## Effector Saver — конфигурация (выяснено 2026-06-28)
+- **Версия:** Effector Saver 4.8. Агент `efsaveragent` под `.\Администратор` (НЕ переводить на LocalSystem — сломает OneDrive-коннектор, привязан к профилю; и не нужно — корень локаута закрыт).
+- **Хранилище:** **OneDrive** через Microsoft Graph API (коннектор Effector, НЕ десктоп-клиент — его на машине нет). Аккаунт **`mmfb@7ppcln.onmicrosoft.com`** / `Gow18155` (M365 tenant). OAuth-авторизация предоставлена, «Тест» = `Status: Connected`. Папка в облаке: `/Backap Server 1C Lion-ART/<задача>`.
+- **Локальный staging:** `D:\<Папка>\<задача>` — **копии удаляются после выгрузки** (папки пусты). Историю задач программно не прочитать (`esdata.db` = проприетарная Absolute Database, не SQLite).
+- **Задачи (6, расписание ежедн. 1:00–6:00):** `BP-MMFB-3` 1:00, `BP-SP-3` 2:00, `LION-UT-NEW` 3:00, `ZUP-MMFB` 4:00, `ZUP-SP` 5:00, `Files1C` 6:00.
+- **Мониторинг свежести бэкапа:** файловый с коробки невозможен (копии удаляются). Правильно — **штатные email-уведомления Effector** → `support@dttb.ru` (per-task успех/ошибка, ловит сбой выгрузки). SMTP в `efsaver.ini` пуст — настраивается в GUI (Сервис → настройки). Watchdog ловит только службу/lockout, НЕ результат выгрузки и НЕ протухание OAuth-токена.
+- **Риск:** OneDrive = облако MS (US): геоблок RU может тихо ронять выгрузку; против курса ухода от US-big-tech. Альтернатива — Effector → Nextcloud WebDAV (dttb.ru).
diff --git a/projects/mmfb/mikrotik.md b/projects/mmfb/mikrotik.md
index dd45b43..4e7ef36 100644
--- a/projects/mmfb/mikrotik.md
+++ b/projects/mmfb/mikrotik.md
@@ -20,3 +20,20 @@ tags: [mmfb, lionart, network]
 ## WireGuard
 
 Активных туннелей нет. 2026-04-20 поднимался временный `wg-niikn` (NSPD bypass для НИИКН) — откачено вечером того же дня из-за замедления общего трафика на стороне НИИКН. Описание схемы, ключи и причины отката — [decisions/2026-04-20-niikn-nspd-bypass-via-lionart.md](../../decisions/2026-04-20-niikn-nspd-bypass-via-lionart.md).
+
+## Локдаун периметра (2026-06-29, инцидент с атакой на 1С)
+После brute-force на 1С-порты ([decisions/2026-06-28-mmfb-1c-cluster-ports-exposed-bruteforce](../../decisions/2026-06-28-mmfb-1c-cluster-ports-exposed-bruteforce.md)) закрыт весь лишний доступ из интернета. Всё помечено `incident-20260629`, `disabled` (обратимо одной командой).
+
+**Что было выставлено наружу (`195.26.30.163`) и хост:**
+- `.10` `KOMPUTER` (Gigabyte ПК) — 3389 RDP; `.240` 1С — 1540/1541/1560-1591; `.25` `NPM` — 80/443/**81**(админка); `.40` `agentdvr` — **1723 PPTP**; `.49` `WG` — 22/**40235udp**(WireGuard); `.205` `ovpn` — 2222/**1174udp**(OpenVPN); `.200` Proxmox — 8006; `.245` — 8007.
+
+**Закрыто (NAT dstnat `disabled`):** 3389, 22→.49, 2222→.205, 8006, **81 (было ДВА правила-дубля — гасить `disable [find chain=dstnat dst-port=81]`)**, 1723, 8007.
+**Оставлено:** 80/443 (сайты NPM), 40235udp (WG), 1174udp (OpenVPN), 1С-порты (за forward-whitelist только frame.ru `92.53.96.188`).
+
+**Сам роутер закрыт от WAN:**
+- `/ip service` ssh(22)/winbox(7777)/www(80) → `address=10.253.1.0/24,100.70.0.0/16` (только LAN+NetBird).
+- input drop winbox: `chain=input drop protocol=tcp dst-address=195.26.30.163 dst-port=7777,8291`.
+- ⚠️ **Грабля:** filter-правила по `in-interface=ether1-gw-telekom` (без порта) молча становятся **`invalid`** на этом роутере. Рабочий матч — по **`dst-address=<публичный IP>`** + порт (как NAT-правила).
+- Проверять закрытие **с чистого внешнего хоста** (Антошка `pct exec 137`), НЕ с Mac — Mac через NetBird/split-DNS даёт ложные «открыто» (ходит на домашний NPM).
+
+Управление всем (роутер/Proxmox/ПК/серверы MMFB) теперь — **только через NetBird-VPN**.
diff --git a/projects/mmfb/reports/2026-06-29-отчёт-инцидент-атака-1с.md b/projects/mmfb/reports/2026-06-29-отчёт-инцидент-атака-1с.md
new file mode 100644
index 0000000..1c7224d
--- /dev/null
+++ b/projects/mmfb/reports/2026-06-29-отчёт-инцидент-атака-1с.md
@@ -0,0 +1,167 @@
+---
+title: Отчёт об инциденте ИБ — атака на сервер 1С (LionART)
+date: 2026-06-29
+recipient: Юрий Витальевич (руководитель ММФБ)
+author: Батлаев О., ИТ-сопровождение
+tags: [mmfb, lionart, security, incident, report]
+---
+
+# ОТЧЁТ ОБ ИНЦИДЕНТЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
+
+| | |
+|---|---|
+| **Кому** | Руководителю ММФБ — Юрию Витальевичу |
+| **От кого** | Батлаев О., ИТ-сопровождение |
+| **Дата** | 29 июня 2026 г. |
+| **Объект** | Сервер 1С (LionART, Windows Server 2022) |
+| **Тип события** | Атака из интернета (подбор паролей) → отказ резервного копирования |
+
+---
+
+## 1. Кратко (главное)
+
+С **25 по 28 июня** сервер 1С подвергался непрерывной автоматизированной атаке из интернета — **подбору паролей** к учётной записи администратора с множества серверов по всему миру.
+
+- ✅ **Взлома не произошло.** Несанкционированного доступа не было, данные 1С не скомпрометированы.
+- ⚠️ **Побочный ущерб:** из-за защитной блокировки учётной записи перестала работать служба резервного копирования — **копии не создавались 3 дня (25–28 июня)**. Более ранние резервные копии сохранены.
+- ✅ **Угроза устранена 28 июня.** Атака заблокирована, резервное копирование восстановлено, настроены круглосуточный мониторинг и оповещения.
+
+На текущий момент сервер работает штатно, угроза нейтрализована, ведётся автоматический контроль.
+
+---
+
+## 2. Что произошло
+
+У сервера 1С есть служебные сетевые «двери» (порты) платформы «1С:Предприятие»:
+- **1540** — агент сервера 1С (ragent);
+- **1541** — менеджер кластера 1С (rmngr);
+- **1560–1591** — рабочие процессы 1С.
+
+1. На пограничном маршрутизаторе эти порты были **открыты в интернет** — исторически, для обмена данными с сайтом frame.ru.
+2. Эту открытость обнаружили злоумышленники. С **десятков арендованных серверов** (хостинги в Болгарии, России и др.) шёл массовый перебор паролей к учётной записи `Администратор`.
+3. Защита Windows при 10 неверных попытках **блокирует учётную запись** на 10 минут. Атака добивала этот порог **каждые ~10 минут круглосуточно**.
+4. Под этой же учётной записью работает служба резервного копирования **Effector Saver**. Пока запись заблокирована — служба не стартует. Итог: **резервные копии не выполнялись с 25 по 28 июня**.
+
+### Почему именно сейчас (триггер)
+По журналам сервера: утром 25.06 бэкапы ещё проходили; к **15:12 25.06** учётная запись уже была заблокирована — ровно в момент **перезапуска сервера 1С** (Event 7036, «1C:Enterprise 8.3 Server Agent» → «работает», 15:13). На сервере две версии платформы (`8.3.27.1936` → работает `8.3.27.2214`) — **обновление 1С 24–25 июня подтверждается**.
+
+Вывод: обновление/перезапуск 1С стало **спусковым крючком** — после перезапуска открытые наружу порты кластера снова «ожили», и боты нашли их за часы. **Само обновление не виновато** — оно лишь активировало давно существовавшую уязвимость (открытые в интернет порты 1С).
+
+---
+
+## 3. Был ли взлом? Оценка ущерба
+
+**Признаков взлома НЕ обнаружено** (проверено по журналам безопасности Windows):
+
+- **0 успешных входов** со стороны атакующих за 48 часов. Парадоксально, но автоматическая блокировка учётной записи **защитила** сервер — не дала подобрать пароль.
+- Посторонних учётных записей, программ-закладок, подозрительных служб — **не найдено**.
+- Данные 1С и резервные копии — **не затронуты**.
+
+**Единственный реальный ущерб** — отсутствие свежих резервных копий за 25–28 июня (3 дня).
+
+---
+
+## 4. Первопричина
+
+Служебные порты сервера 1С были напрямую доступны из интернета. Это создавало сразу два риска: подбор паролей (что и реализовалось) и потенциальное удалённое исполнение кода (порты кластера 1С — известная цель атак).
+
+---
+
+## 5. Принятые меры (28 июня)
+
+1. **Атака заблокирована на маршрутизаторе.** Доступ к портам 1С оставлен **только для сервера сайта frame.ru**; весь остальной интернет к этим портам — запрещён.
+2. **Восстановлены учётная запись и резервное копирование.** Запись разблокирована, служба запущена, копирование возобновлено.
+3. **Настроен автоматический «сторож».** Независимый сервер каждые 10 минут проверяет резервное копирование и состояние учётной записи; при сбое — сам восстанавливает работу и присылает оповещение в Telegram и на корпоративную почту.
+4. **Подключены отчёты о бэкапах.** Ежедневная сводка о выполнении резервного копирования отправляется на корпоративную почту `support@dttb.ru`.
+
+---
+
+## 6. Текущий статус
+
+- Сервер 1С работает штатно, резервное копирование возобновлено.
+- Атака продолжается из интернета, но **полностью блокируется** на маршрутизаторе (см. приложение — отбито свыше 342 000 вредоносных пакетов).
+- Число блокировок учётной записи снизилось с **6–7 в час до практически нуля**.
+- Мониторинг и оповещения работают круглосуточно.
+
+---
+
+## 7. Закрытие портов — ВЫПОЛНЕНО (29 июня)
+
+После аудита маршрутизатора **закрыт весь лишний доступ из интернета** (проверено с внешнего хоста):
+
+| Закрыто 🔒 | Было открыто на |
+|---|---|
+| RDP **3389** | пользовательский ПК «KOMPUTER» |
+| SSH **22, 2222** | служебные хосты |
+| Админка роутера **winbox 7777 / 8291** | MikroTik |
+| Панель **Proxmox 8006** | гипервизор |
+| Админка **NPM 81** | прокси |
+| **PPTP 1723**, **8007** | прочее |
+
+Управление роутером (SSH/winbox/web) дополнительно ограничено: принимается **только из локальной сети и VPN**. Сайты (80/443) и защищённые VPN-каналы — работают. Итог: **всё администрирование — только через VPN, прямого доступа из интернета нет.**
+
+Рекомендация на будущее:
+
+🔴 **Порты 1С — 1540, 1541, 1560–1591** (сервер 1С `10.253.1.240`) сейчас прикрыты «белым списком» (только сайт frame.ru). Финально — убрать из интернета совсем, обмен с сайтом перевести на защищённый канал.
+
+🟠 **Тот же класс риска — тоже закрыть/ограничить** (выявлено на маршрутизаторе):
+- **3389 (удалённый рабочий стол RDP)** → ПК `10.253.1.10` — частая цель атак;
+- **8006 (панель Proxmox)** → `10.253.1.200`, **81 (админка сетевого шлюза)** → `10.253.1.25` — административные интерфейсы;
+- **22 / 2222 (SSH)** → `.49`/`.205`, **1723 (устаревший VPN PPTP)** → `.40` — пересмотреть необходимость.
+
+✅ **Принцип:** доступ ко всем служебным/административным интерфейсам — **только через защищённый VPN** (NetBird), не напрямую из интернета. Наружу оставить лишь то, что действительно должно быть публичным (сайты — 80/443).
+
+**Организационно:**
+- Рассмотреть перенос резервных копий с внешнего облака (Microsoft OneDrive) на собственное хранилище компании.
+- Усиление и регулярная смена пароля администратора.
+
+---
+
+*Подготовил: Батлаев О., ИТ-сопровождение. 29.06.2026.*
+
+---
+---
+
+# ПРИЛОЖЕНИЕ. Технические доказательства
+
+### A. Источники атаки (выборка, по данным whois)
+
+| IP-адрес / сеть | Принадлежность |
+|---|---|
+| 94.26.88.0/24, 94.26.68.0/24 | Razinet Dedicated Servers, **Болгария** (арендованные серверы) |
+| 185.56.162.72 | Hosting-VDS, РФ |
+| 217.74.38.154 | DataFort LLC, РФ |
+| 38.253.156.213 | Cogent (магистральный провайдер) |
+| 154.57.197.99 | анонимный хостинг (ARIN) |
+| 95.68.225.46, 185.46.47.157, 212.23.222.71 | хостинг-провайдеры РФ/ЕС |
+
+**Вывод:** трафик шёл с десятков арендованных серверов (хостинг/VDS), а не от реального пользователя — характерная картина автоматизированного перебора. Подбирались типовые служебные имена: `Administrator`, `1C`, `ADM1C`, `USER`, `SUPERUSER`, `88888888` и т. п.
+
+### B. Объём заблокированной атаки (счётчики маршрутизатора, ~9 часов после блокировки)
+
+| Правило защиты | Отбито пакетов |
+|---|---|
+| Блокировка болгарских сетей | **302 723** |
+| Запрет прочих источников к портам 1С | **39 315** |
+| **Итого** | **≈ 342 000 вредоносных пакетов** |
+
+### C. Хронология блокировок учётной записи `Администратор` (журнал безопасности, событие 4740)
+
+| Время | Блокировок |
+|---|---|
+| 28.06, 16:00–21:00 | по **6–7 в час** (атака активна) |
+| 28.06, 22:00 | 2 (момент применения защиты) |
+| 29.06, 07:00 | 1 (единичная остаточная) |
+
+Контраст «до/после» наглядно показывает эффект защиты.
+
+### D. Индикатор взлома (событие 4624 — успешные входы со стороны атаки)
+
+**0 за 48 часов.** Несанкционированного доступа не было.
+
+### E. Подтверждение простоя резервного копирования
+
+Журнал задач Effector Saver: последний успешный прогон всех 6 задач — **25.06.2026**, следующий — после восстановления службы 28.06.
+
+---
+*Доказательная база сформирована из журналов безопасности Windows (события 4625/4740/4624), таблицы соединений и счётчиков пограничного маршрутизатора, данных whois и журнала задач Effector Saver. Детальные выгрузки доступны по запросу.*
diff --git a/projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.docx b/projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.docx
new file mode 100644
index 0000000..3144284
Binary files /dev/null and b/projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.docx differ
diff --git a/projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.pdf b/projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.pdf
new file mode 100644
index 0000000..20da4c9
Binary files /dev/null and b/projects/mmfb/reports/Отчёт-инцидент-1С-ММФБ.pdf differ