Открываю внешнюю обработку в 1С. Нажимаю кнопку. В окне появляется ws01wc01.
Это whoami, выполненный из обычной обработки .epf. Уязвимости тут нет, так устроена платформа. Меня интересовало другое: увидит ли это SOC. База на стенде файловая и работает на рабочей станции; что меняется на сервере 1С, расскажу ниже.
Иду в журнал регистрации 1С. Пусто: ни открытия обработки, ни запуска команды. Только пара транзакций Begin/Commit.
Иду в SIEM. Тоже пусто: правил под это нет ни у меня, ни, скорее всего, у вас.