← Kiberxavfsizlik xizmatlariga qaytish
Namuna · ommaviy versiya
Bajarilgan ishlar bo‘yicha hisobot
Veb-resursning axborot xavfsizligi auditi
Hujjat buyurtmachi ish yakunida oladigan hisobotning tuzilishi va ifodalarini ko‘rsatadi. Ma’lumotlar o‘ylab topilgan: domen, topilmalar va sanalar format namunasi uchun keltirilgan va haqiqiy mijozga tegishli emas.
Bu qisqartirilgan versiya va u ataylab qisqartirilgan. Bu yerda yuzaki kesim ko‘rsatilgan: taqdimot uslubi tushunarli bo‘ladigan darajada tahlil qilingan odatiy topilmalar. Buyurtma yakunidagi ishchi hisobotda nazorat ostidagi jangovar sinov natijalari, aniq hujum vektorlari va tasdiqlangan ekspluatatsiya ssenariylari, so‘rov va javoblar to‘liq, ta’sirlangan kod va konfiguratsiya, shuningdek qo‘llanilgan usul va vositalar ro‘yxati bo‘ladi. Bu ochiq joylashtirilmaydi: yopilmagan zaifliklar haqidagi hisobot tayyor hujum qo‘llanmasi bo‘lib ishlaydi.
Yetkazib berish formatlari. Hisobot bir vaqtda rahbariyat va arxiv uchun PDF hamda dasturchilar uchun HTML ko‘rinishida topshiriladi. So‘rov bo‘yicha rahbariyat uchun alohida taqdimot tayyorlaymiz: nima topildi, nimasi bilan xavfli va avvalo nimani tuzatish kerak.
- Audit obyekti
- example-client.uz
- Buyurtmachi
- «Namuna» MChJ
- Ijrochi
- «NIXCLOUD» MChJ
- Ish turi
- Veb-ilovaning tashqi auditi, Grey Box
- O‘tkazilgan davr
- 01–08.11.2026
- Hujjat versiyasi
- 1.0, yakuniy
- Asos
- Shartnoma va NDA
- Maxfiylik
- Maxfiy
Hujjat bilan ishlash. Hisobotda yopilmagan zaifliklar haqida ma’lumot bor va ular bartaraf etilgunga qadar u buzg‘unchi uchun qiziqarli. Buyurtmachi tomonidan cheklangan doiradagi shaxslarga beriladi, himoyalangan holda saqlanadi va e’lon qilinmaydi. Ijrochi o‘z nusxasini kelishilgan muddat saqlaydi, so‘ngra ishchi materiallar bilan birga yo‘q qiladi.
1-bo‘lim
Rahbariyat uchun xulosa
Bo‘lim texnik atamalarsiz yozilgan va ishni bajaruvchi emas, balki byudjet va muddat haqida qaror qabul qiladigan o‘quvchiga mo‘ljallangan.
Ishning maqsadi
Veb-resurs va unga bog‘liq infratuzilmaning ruxsatsiz kirish, foydalanuvchi ma’lumotlari sizishi, xizmat ishdan chiqishi va biznes mantig‘ini aylanib o‘tishdan himoyalanganligini mustaqil baholash.
Umumiy baho
Himoyalanganlik darajasi qoniqarli deb baholanadi. Serverni darhol nazoratga olish yoki ma’lumotlar bazasini yuklab olish imkonini beradigan zaifliklar aniqlanmadi. Shu bilan birga autentifikatsiya, xavfsizlik sarlavhalari va sessiya cookie parametrlarida kamchiliklar topildi: ular alohida jiddiy emas, lekin birgalikda hujum yuzasini sezilarli kengaytiradi.
Avvalo nima qilish kerak
- Kirish va parolni tiklashda so‘rovlar chastotasini cheklash. Yagona yuqori darajadagi topilmani yopadigan bitta sozlama.
- Sessiya cookie parametrlarini tuzatish va server javoblaridan dastur versiyalarini olib tashlash. Yarim kunlik ish.
- Content-Security-Policy siyosatini joriy etish. Sinovni talab qiladi, shuning uchun alohida bosqichga chiqarilgan.
2-bo‘lim
Ish chegaralari va metodologiya
Nima tekshirildi
- Kelishilgan ro‘yxatdagi buyurtmachi domenlari va subdomenlari
- Ommaviy API nuqtalari
- Ro‘yxatdan o‘tish, kirish, parolni tiklash, sessiyani boshqarish
- Foydalanuvchi fayllarini yuklash va berish
- Veb-server va javob sarlavhalari konfiguratsiyasi
Nima tekshirilmadi
- Uchinchi tomon xizmatlari: CDN va to‘lov shlyuzi. Faqat integratsiya to‘g‘riligi tekshirildi
- Xizmatdan voz kechishga qaratilgan hajmli hujumlar
- Buyurtmachi xodimlariga nisbatan ijtimoiy muhandislik
- Jismoniy xavfsizlik va ofisning ichki tarmog‘i
Chegara ish boshlanishidan oldin qayd etilgan va o‘zgarmagan. Unga kirmagan hamma narsa tekshirilmagan va bu yo‘nalishlarda topilma yo‘qligi ularning himoyalanganini anglatmaydi.
O‘tkazish qoidalari
Ishlar shartnomaga ilova sifatida kelishilgan qoidalar (Rules of Engagement) asosida olib borildi: ruxsat etilgan domen va manzillar ro‘yxati, o‘tkazish oynasi, shoshilinch to‘xtatish uchun aloqa shaxsi, ma’lumotlarni o‘zgartirish va o‘chirishga taqiq. Xizmat ishiga xalaqit berishi mumkin bo‘lgan harakatlar faqat yozma kelishuvdan keyin bajarildi.
Tekshiruv chuqurligi
Ish hajmi boshlanishidan oldin kelishiladi va ikki darajada bo‘ladi. Ekspluatatsiyasiz tekshiruv: zaiflik belgilari bo‘yicha qayd etiladi, hujum oxirigacha yetkazilmaydi, jangovar muhit uchun xavfsiz. Nazorat ostidagi ekspluatatsiya: topilgan zaiflik tasdiqlangan natijagacha yetkaziladi, bu nazariy xavfni realidan ajratish va buzg‘unchi aslida qaysi ma’lumotlargacha yetib borishini ko‘rsatish imkonini beradi. Ikkinchi daraja faqat alohida yozma ruxsat bilan, kelishilgan oynada va darhol to‘xtatish imkoniyati bilan bajariladi.
Hisobotning ommaviy versiyasida qo‘llanilgan usullar, vositalar va hujum zanjirlari sanab o‘tilmaydi. Ishchi hisobotda ular to‘liq keltiriladi: buyurtmachi nima tekshirilganini va natijani qanday takrorlashni bilishi kerak.
Standartlar
- OWASP Web Security Testing Guide, 4.2-versiya
- OWASP Top 10:2021
- NIST SP 800-115
- Jiddiylik CVSS 3.1 bo‘yicha baholanadi
Buyurtmachi ma’lumotlari bilan ishlash
Foydalanuvchi ma’lumotlari yuklab olinmadi. Tahlil uchun berilgan loglar va konfiguratsiyalar ijrochining yopiq konturida qayta ishlandi. Hajmlarni tahlil qilishda til modellari jalb qilingan joyda internetga ulanmagan, lokal joylashtirilgan modeldan foydalanildi: loglar va konfiguratsiyalar mazmuni tashqi xizmatlarga uzatilmadi. Xulosalar va ifodalar muhandis tomonidan qo‘lda tekshirildi.
3-bo‘lim
Batafsil topilmalar
Har bir topilma bitta sxema bo‘yicha tasvirlangan: aynan nima noto‘g‘ri, bu biznesga nimasi bilan xavfli, qanday tasdiqlangan va nima qilish kerak. Identifikator yozishmalarda va qayta tekshiruvda ishlatiladi.
NX-SEC-01
Yuqori
Kirish va parolni tiklashda so‘rovlar chastotasi cheklanmagan
- CVSS 3.1
- 7.5AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- Toifa
- OWASP A07:2021 — identifikatsiya va autentifikatsiya nosozliklari
- Komponentlar
POST /api/auth/login, POST /api/auth/password-reset- Holati
- Ochiq
Muammo nimada
Ikkala nuqtada ham so‘rovlar soni cheklanmagan — na bitta manzildan, na bitta akkaunt bo‘yicha. 1000 ta ketma-ket kirish urinishi na javob kechikishiga, na bloklashga, na «men robot emasman» tekshiruviga olib keldi.
Qanday tasdiqlandi
Bitta manzildan 94 soniyada 1000 so‘rov, barchasi o‘rtacha 112 ms bilan 401 javobini oldi; cheklash belgilari qayd etilmadi. Parollar tanlanmadi: faqat serverning so‘rov chastotasiga munosabati tekshirildi.
Nimasi bilan xavfli
Mijoz akkauntlarini sizib chiqqan parol lug‘atlari bo‘yicha sanoat miqyosida tanlash mumkin. Parolni tiklashda alohida xavf bor: tiklash tokenini tanlash parolni bilmasdan ham akkauntni egallash imkonini beradi. Bir necha ming foydalanuvchi bazasida bir qism akkaunt deyarli aniq buziladi — odamlar bir parolni qayta ishlatadi.
Nima qilish kerak
- Kirishni bir daqiqada 5 urinishgacha cheklash — akkaunt va manzil bo‘yicha, veb-server yoki tarmoq chegarasida.
- 3–5 muvaffaqiyatsiz urinishdan keyin moslashuvchan tekshiruvni ulash.
- Qattiq bloklash o‘rniga javob kechikishini bosqichma-bosqich oshirish: bloklash begona akkauntni ataylab yopish imkonini beradi.
- Tiklash tokenlarini berish va tekshirish chastotasini kirishdan alohida cheklash.
NX-SEC-02
O‘rta
Xavfsizlik sarlavhalari sozlanmagan
- CVSS 3.1
- 5.4AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
- Toifa
- OWASP A05:2021 — xavfsiz bo‘lmagan konfiguratsiya
- Komponentlar
Barcha ommaviy sahifalar- Holati
- Ochiq
Muammo nimada
Server javoblarida Content-Security-Policy, Permissions-Policy va sahifani freymga joylashtirishdan himoya yo‘q.
Nimasi bilan xavfli
O‘zi bu buzishga olib bormaydi — bu sug‘urtaning yo‘qligi. CSP bo‘lmasa, kodda begona skriptni bajarishga imkon beruvchi har qanday kelajakdagi xato darhol sessiyalar o‘g‘irlanishiga aylanadi. Freymga joylashtirish taqiqlanmasa, interfeysni almashtirib, bosishlarni ushlab qolish mumkin.
Nima qilish kerak
Sarlavhalarni veb-server konfiguratsiyasiga qo‘shish. CSP siyosatini avval kuzatuv rejimida yoqib, tekshiruvdan keyin jangovar rejimga o‘tkazish kerak, aks holda uchinchi tomon skriptlari buzilishi mumkin.
Content-Security-Policy: default-src 'self'; frame-ancestors 'none'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Strict-Transport-Security: max-age=31536000; includeSubDomains
Permissions-Policy: camera=(), microphone=(), geolocation=()
NX-SEC-03
O‘rta
Sessiya cookie’sida Secure va SameSite atributlari yo‘q
- CVSS 3.1
- 4.3AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
- Toifa
- OWASP A01:2021 — kirish nazoratining buzilishi
- Komponentlar
Sessiya cookie’si- Holati
- Ochiq
Nimasi bilan xavfli
Begona saytdan so‘rovni soxtalashtirish xavfi ortadi: tizimga kirgan foydalanuvchi havolaga o‘tadi va harakat uning nomidan bajariladi. Secure yo‘qligi cookie’ni himoyalanmagan ulanish orqali yuborishga ham yo‘l qo‘yadi.
Nima qilish kerak
Sessiya cookie’sini berishda atributlarning to‘liq to‘plamini o‘rnatish.
Set-Cookie: session_id=...; Secure; HttpOnly; SameSite=Lax; Path=/
NX-SEC-04
Past
Server o‘rnatilgan dastur versiyalarini oshkor qiladi
- CVSS 3.1
- 3.1AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
- Toifa
- OWASP A05:2021 — xavfsiz bo‘lmagan konfiguratsiya
- Komponentlar
Server va X-Powered-By sarlavhalari- Holati
- Ochiq
Nimasi bilan xavfli
Sarlavhadagi aniq versiya buzg‘unchini razvedkadan xalos qiladi: u darhol aniq yig‘ilma uchun ma’lum zaifliklarni tanlaydi. Himoyaga bevosita ta’sir qilmaydi, lekin hujumni tezlashtiradi va avtomatik skanerlar imkonini oshiradi.
Nima qilish kerak
Versiyalarni oshkor qilishni veb-server va ilova darajasida o‘chirish.
# nginx
server_tokens off;
# ilova — X-Powered-By sarlavhasini olib tashlash
Namunada o‘ntadan to‘rtta topilma bor va har biri qisqartirilgan. Ishchi hisobotdagi topilmada takrorlash qadamlari, so‘rov va javoblar to‘liq, ekran suratlari, ta’sirlangan kod va konfiguratsiya qismlariga havolalar hamda — ekspluatatsiyaga ruxsat berilgan joyda — nimagacha yetib borilgani tasvirlangan tasdiqlangan ssenariy bo‘ladi. Bu dasturchiga tuzatish va o‘zini tekshirish uchun kerak bo‘lgan hamma narsa. Begona ishlayotgan tizim bo‘yicha bunday matnni e’lon qilib bo‘lmaydi.
4-bo‘lim
Bartaraf etish rejasi
Tartib «xavf va mehnat sarfi» nisbati bo‘yicha tuzilgan: eng katta xavfni eng kam kuch bilan olib tashlaydigan ishlar birinchi turadi.
So‘rov bo‘yicha topilmalar buyurtmachi trekeriga alohida vazifalar sifatida yuklanadi: tavsif, ta’sirlangan fayllarga havolalar va qabul qilish mezoni bilan.
5-bo‘lim
Qayta tekshiruv va cheklovlar
Qayta tekshiruv
Tuzatishlar kiritilgandan keyin yopilgan topilmalar bo‘yicha nazorat tekshiruvi o‘tkaziladi. Natijada hisobotga ilova chiqariladi: har bir topilmaga holat qo‘yiladi — bartaraf etilgan, qisman bartaraf etilgan yoki ochiq qolgan. Qayta tekshiruv ish narxiga kiradigan muddat shartnomada qayd etiladi.
Cheklovlar
- Baho tizimning ish o‘tkazilgan sanadagi holatini aks ettiradi. Shu sanadan keyin kod yoki konfiguratsiyadagi har qanday o‘zgarish yangi zaifliklar yaratishi mumkin.
- Topilma yo‘qligi zaiflik yo‘qligini isbotlamaydi. Audit kelishilgan chegaralar, ish vaqti va mavjud usullar bilan cheklangan.
- Mutlaq himoyalanganlikka erishib bo‘lmaydi. Ishning maqsadi — xavfni maqbul darajagacha kamaytirish va uni boshqariladigan qilish.
Ilovalar
Ma’lumotnoma materiallari
Jiddiylik darajasini qanday o‘qish kerak
Loglar va tekshiruv
Agar audit yakunida allaqachon sodir bo‘lgan buzishga shubha paydo bo‘lsa, tekshiruv chuqurligi butunlay loglarda nima saqlanganiga bog‘liq. Serverning o‘zidan tashqariga chiqarib saqlash lozim bo‘lgan minimal to‘plam:
- Veb-serverning kirish va xato loglari
- Operatsion tizim va ilovaning autentifikatsiya loglari
- Huquqlarni o‘zgartirish, akkaunt yaratish va o‘chirish loglari
- Joylashtirish loglari: kim va qachon kod va konfiguratsiyani o‘zgartirgan
- Serverning tarmoq ulanishlari, hech bo‘lmaganda umumlashtirilgan ko‘rinishda
Buzishga shubha qilsangiz, tizimni qayta o‘rnatish va fayllarni o‘chirish mumkin emas. Bu izlarni yo‘q qiladi va sodir bo‘lgan voqealar manzarasini tiklash imkonsiz bo‘lib qoladi. To‘g‘ri birinchi qadam — obraz yoki hech bo‘lmaganda loglar nusxasini olish, keyin esa ishni tiklash.
Atamalar
- Grey Box — tizim haqida qisman bilim bilan tekshiruv: akkaunt va umumiy tavsif bor, lekin manba kodi yo‘q.
- CVSS — zaifliklar jiddiyligini 0 dan 10 gacha baholashning ochiq metodikali xalqaro shkalasi.
- OWASP Top 10 — veb-ilovalardagi eng keng tarqalgan o‘nta zaiflik sinfi ro‘yxati.
- Rules of Engagement — ish boshlanishidan oldin kelishilgan qoidalar: nimani, qachon va qanday usullar bilan tekshirishga ruxsat berilgan.
- Hujum yuzasi — tizimga ta’sir ko‘rsatishga urinish mumkin bo‘lgan nuqtalar majmuasi.
Tizimingiz bo‘yicha shunday hisobot kerakmi?
Nimangiz borligini yozing: sayt, server, ilova. Ish hajmi va narxni boshlashdan oldin aytamiz.
Ariza qoldirish