Incident Response: Windows tizimlarida kiberxavfsizlik hodisalarini aniqlash bo‘yicha amaliy qo‘llanma!

Incident Response: Windows tizimlarida kiberxavfsizlik hodisalarini aniqlash bo‘yicha amaliy qo‘llanma! Bugungi kunda ko‘plab tashkilotlarning axborot tizimlarida Windows operatsion tizimida ishlovchi kompyuterlar, ishchi stansiyalar va serverlardan foydalaniladi. Tizim odatdagidek ishlayotgandek ko‘rinsada, uning ichida zararli dastur, noma’lum jarayon yoki ruxsatsiz ulanish yashirin ravishda faoliyat yuritayotgan bo‘lishi mumkin. Bunday shubhali holatlarni o‘z vaqtida aniqlash va tekshirishda Incident Response — kiberxavfsizlik hodisalariga chora ko‘rish jarayoni muhim ahamiyatga ega. Ushbu jarayon orqali xavfsizlik mutaxassislari shubhali faoliyatni aniqlashi, hodisaning ko‘lami va ta’sirini baholashi, zarur raqamli dalillarni to‘plashi hamda tegishli choralarni ko‘rishi mumkin. Muhim: Quyidagi buyruqlar tizimni tekshirish va kiberxavfsizlik hodisasini tahlil qilish uchun mo‘ljallangan. Ularni ishlayotgan tizimda qo‘llashdan oldin ayrim amallar hodisa izlariga yoki tizim holatiga ta’sir qilishi mumkinligini hisobga olish hamda tashkilotning Incident Response tartib-qoidalariga rioya qilish zarur. Incident Response nima? Incident Response — kompyuter, tarmoq yoki axborot tizimida kiberxavfsizlik hodisasi yuz berganda uni aniqlash, tahlil qilish, cheklash, bartaraf etish va keyingi oqibatlarini kamaytirishga qaratilgan tizimli jarayondir. Kiberxavfsizlik hodisasiga quyidagilar misol bo‘lishi mumkin: - foydalanuvchi yoki administrator huquqlaridan ruxsatsiz foydalanish; - maxfiy yoki xizmatga oid ma’lumotlarga noqonuniy murojaat qilish; - zararli dastur yoki shubhali dasturiy ta’minot aniqlanishi; - noma’lum IP-manzillar bilan shubhali tarmoq aloqalari; - tizimda kutilmagan yangi foydalanuvchi yoki administrator hisobining paydo bo‘lishi; - noma’lum xizmat yoki avtomatik ishga tushuvchi dastur aniqlanishi; - fayllarning kutilmaganda o‘zgartirilishi yoki yaratilishi; - tizimning noodatiy sekinlashishi, ishdan chiqishi yoki tarmoq faolligining keskin oshishi. Hodisani tekshirishda asosiy maqsad shunchaki “zararli faylni topish” emas. Muhimi — tizimda nima sodir bo‘lganini, qachon boshlanganini, qaysi hisob yoki jarayon ishtirok etganini va hodisa boshqa tizimlarga tarqalgan-tarqalmaganini aniqlash. 1. Foydalanuvchi hisoblarini tekshirish Kiberhujumdan keyingi dastlabki tekshiruvlarda foydalanuvchi hisoblari alohida ahamiyatga ega. Hujumchi tizimga kirish imkoniyatini qo‘lga kiritganidan so‘ng yangi hisob yaratishi yoki mavjud hisobning huquqlarini oshirishi mumkin. Shu sababli quyidagilarni aniqlash muhim: - tizimda qanday foydalanuvchilar mavjud; - qaysi hisoblar faol yoki o‘chirilgan; - qaysi hisoblar administrator huquqiga ega; - yaqinda yaratilgan yoki o‘zgartirilgan hisoblar mavjudligi; - foydalanuvchining tizimdagi huquqlari. Mahalliy foydalanuvchilarni ko‘rish PowerShell’da: Get-LocalUser Ushbu buyruq mahalliy foydalanuvchi hisoblari, ularning holati va ayrim asosiy ma’lumotlarini ko‘rsatadi. Administratorlar guruhidagi foydalanuvchilarni tekshirish uchun: net localgroup administrators Agar ushbu ro‘yxatda tashkilot siyosatiga ko‘ra bo‘lishi kerak bo‘lmagan foydalanuvchi aniqlansa, uning paydo bo‘lish sababi alohida tekshirilishi lozim. Grafik interfeys orqali mahalliy foydalanuvchilarni ko‘rish uchun: lusrmgr.msc Eslatma: lusrmgr.msc ayrim Windows Home nashrlarida mavjud bo‘lmasligi mumkin. 2. Ishlayotgan jarayonlarni tekshirish Process (jarayon) — Windows tizimida ayni vaqtda ishlayotgan dastur yoki xizmatning bajarilayotgan nusxasidir. Zararli dasturlar ko‘pincha odatiy tizim jarayonlariga o‘xshash nomlardan foydalanadi. Shu sababli hodisani tekshirish vaqtida noma’lum yoki shubhali jarayonlarni aniqlash muhim. Birinchi navbatda quyidagilarga e’tibor beriladi: - jarayon nomi; - Process ID (PID); - foydalanayotgan xotira hajmi; - jarayonni ishga tushirgan ota-jarayon; - bajarilayotgan faylning joylashuvi; - jarayonning tarmoqdagi faolligi. Task Manager Grafik interfeys orqali jarayonlarni ko‘rish: taskmgr.exe CMD orqali tasklist Ushbu buyruq ishlayotgan jarayonlarning PID va boshqa asosiy ma’lumotlarini ko‘rsatadi. PowerShell orqali Get-Process Jarayonlarni xizmatlari bilan birga ko‘rish: tasklist /svc Ota-jarayonni aniqlash PowerShell orqali: Get-CimInstance Win32_Process | Select-Object Name, ProcessId, ParentProcessId, CommandLine Bu buyruq jarayon nomi, PID, ota-jarayon PID’i va ishga tushirilgan buyruq satri haqida qo‘shimcha ma’lumot beradi. Masalan, odatiy Windows jarayoni kutilmagan katalogdan ishga tushgan bo‘lsa yoki noma’lum jarayon boshqa shubhali jarayon tomonidan ishga tushirilgan bo‘lsa, ushbu holat qo‘shimcha tekshiruvni talab qiladi. 3. Windows xizmatlarini tekshirish Windows xizmatlari tizim ishga tushishi bilan yoki muayyan shartlar asosida avtomatik ravishda ishlashi mumkin. Shu sababli zararli dasturlar tizimda doimiy faol qolish uchun xizmatlardan foydalanishga urinishi mumkin. Xizmatlarni grafik interfeysda ko‘rish: services.msc Ishlayotgan xizmatlarni CMD orqali ko‘rish: net start Xizmatlarning holatini batafsil ko‘rish: sc query Jarayonlar va ularga bog‘langan xizmatlarni ko‘rish: tasklist /svc Tekshiruv vaqtida quyidagilarga e’tibor qaratish kerak: - noma’lum xizmat nomlari; - yaqinda paydo bo‘lgan xizmatlar; - noodatiy katalogdan ishga tushayotgan xizmatlar; - administrator huquqlari bilan ishlayotgan shubhali xizmatlar; - tashkilot siyosatiga mos kelmaydigan avtomatik ishga tushirish sozlamalari. 4. Task Scheduler — rejalashtirilgan vazifalar Windows Task Scheduler dasturlar va skriptlarni ma’lum vaqtda yoki muayyan hodisa yuz berganda avtomatik ishga tushirish imkonini beradi. Mazkur mexanizm qonuniy maqsadlarda juda ko‘p ishlatiladi. Shu bilan birga, zararli dasturlar tizimda o‘z faoliyatini saqlab qolish uchun undan foydalanishi mumkin. Rejalashtirilgan vazifalarni CMD orqali ko‘rish: schtasks Batafsil ma’lumot olish uchun: schtasks /query /fo LIST /v Tekshiruv davomida ayniqsa quyidagilarga e’tibor berish lozim: - noma’lum vazifalar; - g‘ayrioddiy nomga ega vazifalar; PowerShell ,cmd ,wscript ,cscript yoki noma’lum bajariluvchi fayllarni ishga tushiruvchi vazifalar;- yuqori huquqlar bilan bajariladigan vazifalar; - yaqinda yaratilgan yoki o‘zgartirilgan vazifalar. 5. Avtomatik ishga tushuvchi dasturlar Windows tizimida foydalanuvchi tizimga kirganida avtomatik ravishda ishga tushadigan dasturlar mavjud. Ularni tekshirish uchun Task Manager → Startup apps bo‘limidan foydalanish mumkin. PowerShell orqali avtomatik ishga tushuvchi dasturlar haqida ma’lumot olish: Get-CimInstance Win32_StartupCommand | Select-Object Name, Command, Location, User | Format-List Tekshiruvda noma’lum dasturlar, shubhali fayl yo‘llari va kutilmagan foydalanuvchi hisoblari bilan bog‘langan avtomatik ishga tushirish yozuvlariga e’tibor berish kerak. 6. Windows Registry yozuvlarini tekshirish Windows Registry operatsion tizim va o‘rnatilgan dasturlarning turli konfiguratsiya ma’lumotlarini saqlaydi. Ayrim zararli dasturlar tizim qayta ishga tushirilgandan keyin ham avtomatik ravishda ishga tushish uchun Registry’dagi tegishli yozuvlardan foydalanishi mumkin. Masalan, umumiy Run kalitlarini tekshirish: reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" Joriy foydalanuvchi uchun: reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" Shuningdek, Registry’dagi noma’lum yoki kutilmagan avtomatik ishga tushirish yozuvlarini tekshirish mumkin. Muhim: Registry’ni tekshirish va ayniqsa o‘zgartirishda ehtiyotkorlik talab etiladi. Noto‘g‘ri o‘zgartirish Windows yoki ayrim dasturlarning ishlashiga salbiy ta’sir ko‘rsatishi mumkin. 7. Faol TCP va UDP ulanishlarini tekshirish Tarmoq ulanishlari hodisani tekshirishda eng muhim manbalardan biridir. Agar kompyuterda zararli dastur ishlayotgan bo‘lsa, u tashqi server bilan aloqa o‘rnatishi, ma’lumot yuborishi yoki buyruqlarni qabul qilishi mumkin. Faol tarmoq ulanishlarini ko‘rish: netstat -ano Bu yerda: - Local Address — mahalliy IP-manzil va port; - Foreign Address — masofaviy IP-manzil va port; - State — ulanish holati; - PID — ulanishdan foydalanayotgan jarayon identifikatori. Masalan, shubhali tashqi IP-manzil aniqlansa, uning qaysi jarayonga tegishli ekanini PID orqali tekshirish mumkin. PowerShell’da TCP ulanishlarini ko‘rish: Get-NetTCPConnection | Sort-Object LocalPort Muayyan IP-manzil bo‘yicha tekshirish uchun: Get-NetTCPConnection -LocalAddress "192.168.0.110" | Sort-Object LocalPort Eslatma: IP-manzil misol sifatida keltirilgan. Amaliy tekshiruvda tashkilotning haqiqiy manzil diapazoni qo‘llanadi. 8. Tarmoqdagi umumiy resurslar va SMB ulanishlarini tekshirish Windows muhitida fayl va boshqa resurslarni tarmoq orqali ulashish keng tarqalgan. Biroq keraksiz yoki ruxsatsiz umumiy resurslar xavfsizlik uchun qo‘shimcha xavf tug‘dirishi mumkin. Mahalliy SMB ulashishlarini PowerShell orqali ko‘rish: Get-SmbShare Tarmoqdagi ulanishlar va umumiy resurslarni tekshirishda: net view \\localhost Shuningdek, tizimda mavjud tarmoq ulanishlarini ko‘rish: net use Tekshiruv vaqtida noma’lum umumiy papkalar, kutilmagan tarmoq ulanishlari yoki foydalanuvchi uchun zarur bo‘lmagan resurslarga berilgan keng huquqlar aniqlanishi mumkin. 9. Fayllarni tekshirish Hodisani o‘rganishda yaqinda yaratilgan yoki o‘zgartirilgan fayllar muhim dalil bo‘lishi mumkin. Ayniqsa quyidagilarga e’tibor berish lozim: - noma’lum .exe ,.dll ,.ps1 ,.bat ,.vbs fayllari; - tizim kataloglarida kutilmagan fayllar; - yaqinda o‘zgartirilgan fayllar; - noodatiy nomga ega fayllar; - vaqtinchalik kataloglardan ishga tushirilayotgan bajariluvchi fayllar. Masalan, so‘nggi 10 kun ichida o‘zgartirilgan .exe fayllarni qidirish: forfiles /D -10 /S /M *.exe /C "cmd /c echo @path" Fayl nomi va o‘zgartirilgan sanasi haqida ma’lumot olish: forfiles /D -10 /S /M *.exe /C "cmd /c echo @ext @fname @fdate" Muayyan diskda yaqinda o‘zgartirilgan fayllarni ko‘rish: forfiles /P C:\ /S /D -10 Muhim: Faqat faylning yangi yoki noma’lum ekanligi uning zararli ekanini anglatmaydi. Har bir topilma faylning joylashuvi, raqamli imzosi, hash qiymati, yaratilish va o‘zgartirilish vaqti hamda boshqa dalillar bilan birgalikda baholanishi kerak. 10. Windows Firewall sozlamalarini tekshirish Firewall tizimga kiruvchi va undan chiquvchi tarmoq ulanishlarini nazorat qilishda muhim himoya vositasidir. Hozirgi Windows tizimlarida Firewall sozlamalarini tekshirish uchun quyidagi buyruqlardan foydalanish mumkin: netsh advfirewall show allprofiles Joriy profilni ko‘rish: netsh advfirewall show currentprofile Qoidalarni ko‘rish: netsh advfirewall firewall show rule name=all Tekshiruv vaqtida quyidagilarga e’tibor qaratish kerak: - yaqinda yaratilgan qoidalar; - noma’lum dasturlarga berilgan ruxsatlar; - kutilmagan inbound qoidalar; - tashqi tarmoqqa chiqishga ruxsat beruvchi noodatiy qoidalar; - tashkilot xavfsizlik siyosatiga zid sozlamalar. Eski Windows muhitlarida uchrashi mumkin bo‘lgan: netsh firewall show config buyrug‘i o‘rniga zamonaviy tizimlarda netsh advfirewall buyruqlaridan foydalanish maqsadga muvofiq. 11. Boshqa tizimlar bilan o‘rnatilgan sessiyalar Tizimning boshqa kompyuter yoki serverlar bilan qanday tarmoq sessiyalarini o‘rnatgani ham hodisani tekshirishda muhim ma’lumot beradi. Quyidagi buyruqdan foydalanish mumkin: net use Bu orqali mavjud tarmoq ulanishlari, jumladan xaritalangan tarmoq resurslari haqida ma’lumot olish mumkin. Agar foydalanuvchi yoki kompyuter tomonidan kutilmagan serverga ulanish aniqlansa, ushbu aloqa qaysi jarayon yoki faoliyat natijasida yuzaga kelganini qo‘shimcha tekshirish kerak. 12. Ochiq sessiyalarni tekshirish Tizimga boshqa kompyuterlardan o‘rnatilgan sessiyalarni tekshirish uchun: net session Ushbu buyruq ayniqsa serverlarda foydali bo‘lishi mumkin. Agar noma’lum kompyuter yoki foydalanuvchi tomonidan o‘rnatilgan sessiya aniqlansa, uning qonuniyligi, qachon tashkil etilgani va qanday faoliyat bilan bog‘liqligi tekshiriladi. 13. Windows Event Log jurnallarini tekshirish Incident Response jarayonidagi eng muhim manbalardan biri — Windows Event Logs. Ular tizimda yuz bergan ko‘plab hodisalar haqida ma’lumot saqlaydi. Jumladan: - foydalanuvchining tizimga kirishi va chiqishi; - muvaffaqiyatsiz autentifikatsiya urinishlari; - yangi foydalanuvchi hisoblarining yaratilishi; - huquqlarning o‘zgarishi; - xizmatlarning ishga tushishi yoki to‘xtashi; - jarayonlar bilan bog‘liq ayrim hodisalar; - xavfsizlik siyosatidagi o‘zgarishlar. Event Viewer’ni ochish: eventvwr.msc Security jurnalidagi hodisalarni CMD orqali ko‘rish: wevtutil qe Security Mavjud event log jurnallari ro‘yxatini PowerShell orqali ko‘rish: Get-WinEvent -ListLog * Muayyan jurnalni ko‘rish uchun: Get-WinEvent -LogName Security -MaxEvents 50 Windows muhitida hodisalarni tahlil qilishda ayrim Event IDlar ham alohida ahamiyatga ega. Masalan: - 4624 — muvaffaqiyatli tizimga kirish; - 4625 — muvaffaqiyatsiz tizimga kirish; - 4720 — yangi foydalanuvchi hisobining yaratilishi; - 4728 — foydalanuvchining global security-enabled guruhga qo‘shilishi; - 4732 — foydalanuvchining lokal security-enabled guruhga qo‘shilishi. Biroq Event ID’ni alohida ko‘rib xulosa chiqarish to‘g‘ri emas. Hodisaning vaqti, foydalanuvchi, kompyuter nomi, IP-manzil va boshqa tegishli yozuvlar bilan bog‘lab tahlil qilish zarur. 14. Hodisani tekshirishda nimalarga e’tibor berish kerak? Windows tizimida dastlabki Incident Response tekshiruvini quyidagi ketma-ketlikda tashkil etish mumkin: 1. Tizim holatini qayd etish Hodisa aniqlangan vaqt, kompyuter nomi, foydalanuvchi va mavjud alomatlar qayd etiladi. 2. Foydalanuvchilarni tekshirish Noma’lum hisoblar va administrator huquqiga ega foydalanuvchilar aniqlanadi. 3. Jarayonlarni tekshirish Noma’lum jarayonlar, ularning PID’i, ota-jarayoni va bajarilayotgan fayl yo‘li o‘rganiladi. 4. Tarmoq ulanishlarini tahlil qilish Noma’lum IP-manzillar, ochiq portlar va shubhali tashqi ulanishlar aniqlanadi. 5. Doimiy ishlash mexanizmlarini tekshirish Services, Task Scheduler, Startup va Registry Run yozuvlari ko‘rib chiqiladi. 6. Fayllarni tahlil qilish Yaqinda yaratilgan yoki o‘zgartirilgan shubhali fayllar aniqlanadi. 7. Firewall sozlamalarini tekshirish Kutilmagan ruxsatlar va yangi qoidalar mavjudligi o‘rganiladi. 8. Event Log’larni tahlil qilish Autentifikatsiya, hisoblar, xizmatlar va boshqa muhim hodisalar vaqt bo‘yicha taqqoslanadi. 9. Dalillarni saqlash Aniqlangan loglar, fayllar, hash qiymatlari va boshqa raqamli dalillar imkon qadar o‘zgartirilmagan holda saqlanadi. 10. Hodisaning ko‘lamini aniqlash Hujum yoki zararli faoliyat faqat bitta kompyuter bilan cheklanganmi yoki boshqa tizimlarga ham tarqalganmi — shu masala tekshiriladi. 15. Muhim amaliy tavsiyalar Incident Response vaqtida aniqlangan shubhali fayl yoki jarayonni darhol o‘chirib yuborish har doim ham to‘g‘ri qaror emas. Chunki bu harakat muhim raqamli dalillarning yo‘qolishiga olib kelishi mumkin. Shuning uchun: - dalillarni imkon qadar avval qayd etish; - tegishli loglarni saqlab qolish; - fayllarning hash qiymatlarini hisoblash; - tizimdagi vaqt va vaqt mintaqasi sozlamalarini qayd etish; - shubhali jarayonlarning PID va fayl yo‘llarini yozib olish; - tarmoq ulanishlari haqidagi ma’lumotlarni saqlash; - zarur hollarda tizimni tarmoqdan izolyatsiya qilish; - tashkilotning Incident Response rejasi asosida harakat qilish tavsiya etiladi. Agar hodisa jiddiy bo‘lsa, tizimni o‘chirib-yoqish, fayllarni o‘chirish yoki antivirus yordamida barcha shubhali obyektlarni avtomatik tozalashdan oldin raqamli kriminalistika talablari hisobga olinishi kerak. Windows tizimida yuzaga kelgan kiberxavfsizlik hodisasini aniqlash faqat antivirus tekshiruvini ishga tushirish bilan cheklanmaydi. Tizimdagi foydalanuvchi hisoblari, jarayonlar, xizmatlar, rejalashtirilgan vazifalar, avtomatik ishga tushuvchi dasturlar, Registry yozuvlari, tarmoq ulanishlari, umumiy resurslar, fayllar, Firewall qoidalari va Event Log jurnallari bir-biri bilan bog‘liq holda tahlil qilinishi kerak. Bir qarashda oddiy ko‘ringan ma’lumot — masalan, noma’lum jarayon, kutilmagan administrator hisobi yoki g‘ayrioddiy tarmoq ulanishi — boshqa dalillar bilan birgalikda tahlil qilinganda kiberhujumning muhim belgisi bo‘lishi mumkin. Shu sababli Incident Response — hodisa yuz bergandan keyingi harakat emas, balki tashkilotning kiberxavfsizlik jarayonining ajralmas qismi sifatida qaralishi lozim. Windows tizimlarini muntazam monitoring qilish, xavfsizlik jurnallarini markazlashtirilgan holda yig‘ish, foydalanuvchi huquqlarini cheklash, endpoint himoya vositalaridan foydalanish va hodisalarga chora ko‘rish bo‘yicha aniq tartiblarning mavjudligi kiberxavfsizlik hodisalarini erta aniqlash hamda ularning oqibatlarini kamaytirishga xizmat qiladi. Axborot va kiberxavfsizlikka mas’ul rahbarlar hamda texnik mutaxassislar diqqatiga! Tashkilotingizdagi Windows ishchi stansiyalari va serverlarida yuqoridagi ko‘rsatkichlarni muntazam nazorat qiling. Noma’lum foydalanuvchi, shubhali jarayon, kutilmagan xizmat, noodatiy tarmoq ulanishi yoki g‘ayrioddiy Event Log yozuvlari aniqlansa, holatni batafsil o‘rganing va zarur choralarni o‘z vaqtida ko‘ring.