Pre-audit: nima uchun ekspertizadan oldin o'zingiz tekshirishingiz kerak

Rasmiy kiberxavfsizlik ekspertizasi zaiflik topsa, jarayon to'xtamaydi, lekin cho'ziladi: hisobot keladi, jamoa tuzatadi, mahsulot qayta topshiriladi va yana kutiladi. Har bir topilma — yana bir aylanma. Pre-audit aynan shu aylanmalarni kamaytirish uchun kerak.

Pre-audit nima

Pre-audit — rasmiy ekspertizadan oldin o'tkaziladigan ichki yoki mustaqil tekshiruv. Uning vazifasi ekspertiza topishi mumkin bo'lgan zaifliklarni oldindan aniqlash va yopish. Pre-audit rasmiy tekshiruv o'rnini bosmaydi va hech qanday rasmiy hujjat bermaydi. U mahsulotni tekshiruvga tayyorlaydi.

Farqni oddiy misol bilan tushuntirish mumkin: imtihondan oldin sinov testini ishlash imtihon natijasini bermaydi, lekin qayerda xato qilayotganingizni ko'rsatadi.

Nima uchun o'zingiz tekshirishingiz kerak

Topilmalarning ko'pi tipik

O'z tajribamizdan: soliq-moliya SaaS platformamiz veb-ekspertizasida 6 ta topilma chiqdi. Ular orasida murakkab yoki noyob hujum yo'q edi. Ochiq qolgan FTP va panel portlari, brauzerga butun marshrutlar ro'yxatini yuborayotgan kutubxona, X-Forwarded-Host headeriga ishonib qolgan ilova — bularning barchasini oldindan tekshiruv ro'yxati bilan topish mumkin edi.

Mobil ilovada ham manzara o'xshash: root va jailbreak aniqlash yo'qligi, ma'lumotlarning shifrlanmagan saqlanishi, sertifikatni tekshirishning zaifligi. Bular OWASP MASVS va Mobile Top 10 (2024) hujjatlarida aniq yozilgan talablar.

Dasturchining "ko'r nuqtasi"

Kodni yozgan jamoa uni "qanday ishlashi kerak" degan nuqtai nazardan biladi. Hujumchi esa "qanday qilib boshqacha ishlatish mumkin" deb qaraydi. Masalan, bizning holatda to'lov provayderi hali tasdiqlamagan bo'lsa ham "to'lov muvaffaqiyatli" sahifasi ochilardi. Dasturchi uchun bu shunchaki qaytish sahifasi edi; tekshiruvchi uchun esa biznes mantiq xatosi.

Vaqt va diqqat

Har bir qayta topshirish jamoani asosiy ishdan chalg'itadi: kontekstni qayta eslash, tuzatish, qayta yig'ish, hujjat tayyorlash. Barcha tipik muammolarni bir martada yopish bir necha marta qisman yopishdan ancha arzon tushadi.

Pre-audit ekspertizani yengillashtirmaydi, uni oldindanroq boshlaydi — siz o'zingizga qulay vaqtda.

Pre-audit nimani qamraydi

Yaxshi pre-audit ekspertiza qaraydigan yo'nalishlarni takrorlaydi.

Veb-ilovalar

• OWASP Top 10 (2021) bo'yicha tekshiruv: kirish nazorati, inyeksiyalar, noto'g'ri sozlamalar, eskirgan komponentlar.
• Biznes mantiq: to'lov, ro'yxatdan o'tish, parolni tiklash, holat o'zgarishlari.
• Ma'lumot oshkor bo'lishi: xato xabarlari, API javoblari, brauzerga yuboriladigan konfiguratsiya.
• Server: ochiq portlar, xizmatlar, TLS, xavfsizlik headerlari, admin panellarga kirish.

Mobil ilovalar

• Binar himoya: root/jailbreak va emulyator aniqlash, Frida kabi dinamik tahlil vositalariga qarshi himoya, yaxlitlik tekshiruvi, obfuskatsiya.
• Ma'lumot saqlash: Keystore/Keychain, allowBackup, WebView ma'lumotlari.
• Tarmoq: sertifikat pinning, cleartext trafikni o'chirish.
• Topshirish uchun: MD5, SHA1, SHA256 nazorat qiymatlari.

Pre-auditni qachon boshlash kerak

Eng qulay vaqt — mahsulot funksional jihatdan tayyor bo'lib, lekin ekspertizaga hali topshirilmagan payt. Juda erta boshlansa, keyingi o'zgarishlar yangi muammolar olib kirishi mumkin. Juda kech boshlansa, tuzatishlarga vaqt qolmaydi va jamoa shoshib ishlaydi.

Amalda pre-auditni reliz rejasiga alohida bosqich sifatida kiritish yaxshi natija beradi: kod "muzlatiladi", tekshiruv o'tkaziladi, topilmalar yopiladi, keyin qayta tekshiruv va shundan so'ng rasmiy topshirish. Mobil ilovalar uchun bu ayniqsa muhim, chunki har bir tuzatish yangi build, yangi imzo va yangi nazorat qiymatlarini talab qiladi.

O'zingiz boshlashingiz mumkin bo'lgan 7 ta tekshiruv

Mutaxassis yollamasdan ham ko'p narsani tekshirish mumkin:

1. nmap bilan serverni tashqaridan skanerlang va faqat kerakli portlar ochiq ekanini tasdiqlang.
2. Production'da debug rejimi o'chirilganini va xato sahifasi stack trace ko'rsatmasligini tekshiring.
3. Brauzerda "View source" va DevTools orqali qanday JavaScript ma'lumotlari yuborilayotganini ko'ring: marshrutlar ro'yxati, kalitlar, ichki URL'lar bo'lmasin.
4. composer audit yoki npm audit ishga tushiring.
5. Saytingizni ochiq header-skanerlarda (masalan, Mozilla Observatory) tekshiring.
6. Begona Host header bilan so'rov yuboring va javobda shu domen paydo bo'lmasligini tekshiring:

curl -s -H "X-Forwarded-Host: example.org" https://your-domain.uz/ | grep example.org

7. To'lov va holat o'zgaradigan har bir jarayonni qadamma-qadam o'ting va so'rovlarni qo'lda o'zgartirib ko'ring: server har bir qadamni o'zi tekshiryaptimi?

Sipar pre-auditi qanday ishlaydi

Biz tahlilni Claude AI agenti va inson-mutaxassis bilan birga olib boramiz. Agent kod bazasi, konfiguratsiya va server sozlamalarini tez ko'rib chiqadi va shubhali joylarni belgilaydi. Mutaxassis har bir topilmani qo'lda tasdiqlaydi, soxta signallarni ajratadi va tuzatishni amalga oshiradi yoki jamoangizga aniq ko'rsatma beradi.

Natijada siz quyidagilarni olasiz:

• Xavf darajasi bo'yicha saralangan topilmalar ro'yxati va har biri uchun tuzatish.
• Yopilgan teshiklar va qayta tekshiruv natijasi.
• Ekspertizaga topshirish uchun tayyor holat: inventar, nazorat qiymatlari, o'zgarishlar qaydi.

Biz ekspertiza natijasini oldindan kafolatlamaymiz — bu rasmiy tekshiruvchining vakolati. Bizning vazifamiz — siz u yerga ma'lum va tipik teshiklarsiz borishingiz.

Xulosa

Pre-audit — bu rasmiy tekshiruvni o'zingiz boshqara oladigan vaqtda takrorlash. Tipik zaifliklar oldindan yopilsa, ekspertiza kamroq aylanma bilan yakunlanadi va jamoa diqqati mahsulotda qoladi.

Mahsulotingizdan boshlab ko'rmoqchimisiz? Skanerlash uchun so'rov qoldiring — asosiy zaifliklarni ko'rib chiqib, keyingi qadamlarni aytib beramiz.