Kiberxavfsizlik ekspertizasi nima va unga qanday tayyorlanish kerak

Veb-sayt, portal yoki mobil ilovani ishga tushirishdan oldin ko'p tashkilotlar rasmiy kiberxavfsizlik ekspertizasidan o'tishi kerak bo'ladi. Bu tekshiruvni Kiberxavfsizlik markazi mutaxassislari o'tkazadi. Maqsad oddiy: mahsulot foydalanuvchi ma'lumotlarini va tashkilot infratuzilmasini ma'lum xavflar oldida ochiq qoldirmayotganiga ishonch hosil qilish.

Ushbu maqolada ekspertiza qanday ishlashini, unda odatda nimalarga e'tibor berilishini va mahsulotni tekshiruvga qanday tayyorlash kerakligini o'z tajribamiz asosida tushuntiramiz.

Ekspertiza nimani tekshiradi

Ekspertiza — bu mahsulotning amaldagi holatini mustaqil baholash. Mutaxassislar tizimga tashqi hujumchi nigohi bilan qaraydi va topilgan har bir zaiflikni hisobotda qayd etadi.

Veb-ilovalar uchun

Veb-sayt va portallarda odatda quyidagi yo'nalishlar ko'rib chiqiladi:

• Ilova darajasidagi zaifliklar — OWASP Top 10 (2021) toifalariga mos muammolar: kirish nazoratidagi xatolar, inyeksiyalar, noto'g'ri sozlamalar.
• Biznes mantiq — jarayonlar to'g'ri tartibda va kerakli tekshiruvlar bilan bajarilishi.
• Ma'lumot oshkor bo'lishi — javoblarda, xato xabarlarida yoki brauzerga yuborilgan fayllarda ortiqcha ichki ma'lumot.
• Server va tarmoq — internetga ochiq portlar, keraksiz xizmatlar, boshqaruv panellariga kirish.
• Transport xavfsizligi — HTTPS, TLS sozlamalari va xavfsizlik headerlari.

Mobil ilovalar uchun

Android (APK) va iOS (IPA) ilovalarda tekshiruv OWASP MASVS va Mobile Top 10 (2024) yo'nalishlariga yaqin: binar himoya (root/jailbreak aniqlash, dinamik tahlilga qarshi himoya, yaxlitlik tekshiruvi), ma'lumotlarni qurilmada xavfsiz saqlash, sertifikatni to'g'ri tekshirish va tarmoq trafigi. Topshirilgan fayllar uchun MD5, SHA1 va SHA256 nazorat qiymatlari ham so'raladi — tekshirilgan fayl aynan siz topshirgan fayl ekanini tasdiqlash uchun.

Hisobot qanday ko'rinadi

Ekspertiza natijasi — topilgan zaifliklar ro'yxati. Har bir topilma odatda xavf darajasi (yuqori, o'rta, past), tavsif va tavsiya bilan beriladi. Mahsulot egasi topilmalarni yopadi va mahsulotni qayta tekshiruvga taqdim etadi.

O'z mahsulotimiz — soliq-moliya SaaS platformasi — misolida veb-ekspertiza 6 ta topilma qaytargan edi: to'lov provayderi tasdiqlashidan oldin "muvaffaqiyatli to'lov" sahifasi ko'rsatilishi, host header injection, ikki holatda ma'lumot oshkor bo'lishi, holat tekshiruvisiz bajariladigan amallar va internetga ochiq portlar. Mobil ilova ekspertizasi esa Android va iOS bo'yicha 9 ta topilma berdi. Hammasi yopildi, lekin har bir aylanma vaqt oldi.

Qayta topshirishda faqat tuzatilgan joy emas, butun mahsulot yana ko'rib chiqilishi mumkin. Shuning uchun bitta topilmani yopayotganda yangi muammo qo'shib qo'ymaslik muhim: masalan, xavfsizlik headerlarini qo'shganda saytning bir qismi ishlamay qolmasin yoki yangi kutubxona eski zaiflikni olib kirmasin.

Ekspertiza imtihon emas, balki mustaqil ko'zgu. Unga qanchalik tayyor kelsangiz, qayta topshirish aylanmalari shuncha kam bo'ladi.

Tayyorgarlik: amaliy ro'yxat

Quyidagi qadamlar har qanday veb yoki mobil mahsulot uchun foydali.

1. Inventarizatsiya qiling

Tekshiruvga nima kirishini aniq yozib chiqing: domenlar va subdomenlar, IP-manzillar, API endpointlar, admin panel manzillari, ishlatilayotgan framework va kutubxonalar versiyalari. Ko'pincha muammo "unutilgan" test subdomeni yoki eski API versiyasida chiqadi.

2. Ortiqcha narsalarni yoping

• Ishlatilmayotgan portlar va xizmatlar (FTP, ma'lumotlar bazasi porti, server paneli) internetdan yopilsin.
• Boshqaruv panellari faqat ruxsat etilgan IP-manzillardan ochilsin.
• Test va debug sahifalari, phpinfo, eski zaxira fayllari serverdan olib tashlansin.

Serverni tashqaridan tez tekshirish uchun:

nmap -Pn -p- your-domain.uz

Natijada faqat kerakli portlar (odatda 80 va 443) qolishi kerak.

3. Production rejimini tekshiring

Debug rejimi o'chirilgan bo'lsin, xato xabarlari foydalanuvchiga stack trace ko'rsatmasin. Brauzerga yuboriladigan JavaScript ichida ichki marshrutlar ro'yxati, kalitlar yoki ortiqcha konfiguratsiya bo'lmasin.

4. Bog'liqliklarni yangilang

composer audit, npm audit yoki shunga o'xshash vositalar bilan ma'lum zaifligi bor kutubxonalarni aniqlang va yangilang. Server dasturiy ta'minoti (nginx, PHP, ma'lumotlar bazasi) ham yangilangan bo'lsin.

5. HTTPS va headerlarni sozlang

HTTP so'rovlar HTTPS'ga yo'naltirilsin, eskirgan TLS versiyalari o'chirilsin, Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options kabi headerlar qo'shilsin.

6. Biznes mantiqni qo'lda ko'rib chiqing

Avtomatik skanerlar buni topa olmaydi. To'lov, ro'yxatdan o'tish, parolni tiklash, buyurtma holati kabi jarayonlarda har bir qadam server tomonida tekshirilishini ko'ring. Masalan, to'lov holati foydalanuvchi qaytgan URL'ga emas, provayderning tasdiqlovchi so'roviga asoslansin.

7. Mobil ilova uchun alohida

Release build'ni obfuskatsiya bilan yig'ing, root/jailbreak aniqlash va sertifikat pinning qo'shing, maxfiy ma'lumotlarni Keystore/Keychain'da saqlang, cleartext trafikni o'chiring. Topshiriladigan APK va IPA uchun nazorat qiymatlarini oldindan hisoblab qo'ying:

sha256sum app-release.apk

8. Mas'ul shaxs va hujjatlashtirish

Ekspertiza bilan muloqot qiladigan bitta texnik mas'ulni belgilang. Har bir tuzatishni qisqa yozib boring: nima topildi, nima o'zgartirildi, qanday tekshirildi. Qayta topshirishda bu vaqtni sezilarli tejaydi.

Xulosa

Ekspertiza mahsulotning xavfsizlik darajasini mustaqil tekshiradi va bu foydali jarayon. Unga tayyorlanish — topilishi mumkin bo'lgan teshiklarni oldindan o'zingiz topib yopish demak. Shunda tekshiruv kamroq aylanma bilan yakunlanadi va jamoa asosiy ishiga tezroq qaytadi.

Mahsulotingiz ekspertizaga qanchalik tayyor ekanini bilmoqchimisiz? Skanerlash uchun so'rov qoldiring — Claude AI agenti va mutaxassisimiz asosiy zaifliklarni ko'rib chiqib, nimadan boshlash kerakligini aytib beramiz.