Bugungi kunda ko‘plab tashkilotlarning axborot tizimlarida Windows operatsion tizimida ishlovchi kompyuterlar, ishchi stansiyalar va serverlardan foydalaniladi. Tizim odatdagidek ishlayotgandek ko‘rinsada, uning ichida zararli dastur, noma’lum jarayon yoki ruxsatsiz ulanish yashirin ravishda faoliyat yuritayotgan bo‘lishi mumkin.
Bunday shubhali holatlarni o‘z vaqtida aniqlash va tekshirishda Incident Response — kiberxavfsizlik hodisalariga chora ko‘rish jarayoni muhim ahamiyatga ega. Ushbu jarayon orqali xavfsizlik mutaxassislari shubhali faoliyatni aniqlashi, hodisaning ko‘lami va ta’sirini baholashi, zarur raqamli dalillarni to‘plashi hamda tegishli choralarni ko‘rishi mumkin.
Muhim: Quyidagi buyruqlar tizimni tekshirish va kiberxavfsizlik hodisasini tahlil qilish uchun mo‘ljallangan. Ularni ishlayotgan tizimda qo‘llashdan oldin ayrim amallar hodisa izlariga yoki tizim holatiga ta’sir qilishi mumkinligini hisobga olish hamda tashkilotning Incident Response tartib-qoidalariga rioya qilish zarur.
Incident Response nima?
Incident Response — kompyuter, tarmoq yoki axborot tizimida kiberxavfsizlik hodisasi yuz berganda uni aniqlash, tahlil qilish, cheklash, bartaraf etish va keyingi oqibatlarini kamaytirishga qaratilgan tizimli jarayondir.
Kiberxavfsizlik hodisasiga quyidagilar misol bo‘lishi mumkin:
- foydalanuvchi yoki administrator huquqlaridan ruxsatsiz foydalanish;
- maxfiy yoki xizmatga oid ma’lumotlarga noqonuniy murojaat qilish;
- zararli dastur yoki shubhali dasturiy ta’minot aniqlanishi;
- noma’lum IP-manzillar bilan shubhali tarmoq aloqalari;
- tizimda kutilmagan yangi foydalanuvchi yoki administrator hisobining paydo bo‘lishi;
- noma’lum xizmat yoki avtomatik ishga tushuvchi dastur aniqlanishi;
- fayllarning kutilmaganda o‘zgartirilishi yoki yaratilishi;
- tizimning noodatiy sekinlashishi, ishdan chiqishi yoki tarmoq faolligining keskin oshishi.
Hodisani tekshirishda asosiy maqsad shunchaki “zararli faylni topish” emas. Muhimi — tizimda nima sodir bo‘lganini, qachon boshlanganini, qaysi hisob yoki jarayon ishtirok etganini va hodisa boshqa tizimlarga tarqalgan-tarqalmaganini aniqlash.
1. Foydalanuvchi hisoblarini tekshirish
Kiberhujumdan keyingi dastlabki tekshiruvlarda foydalanuvchi hisoblari alohida ahamiyatga ega. Hujumchi tizimga kirish imkoniyatini qo‘lga kiritganidan so‘ng yangi hisob yaratishi yoki mavjud hisobning huquqlarini oshirishi mumkin.
Shu sababli quyidagilarni aniqlash muhim:
- tizimda qanday foydalanuvchilar mavjud;
- qaysi hisoblar faol yoki o‘chirilgan;
- qaysi hisoblar administrator huquqiga ega;
- yaqinda yaratilgan yoki o‘zgartirilgan hisoblar mavjudligi;
- foydalanuvchining tizimdagi huquqlari.
Mahalliy foydalanuvchilarni ko‘rish
PowerShell’da:
Get-LocalUser
Ushbu buyruq mahalliy foydalanuvchi hisoblari, ularning holati va ayrim asosiy ma’lumotlarini ko‘rsatadi.
Administratorlar guruhidagi foydalanuvchilarni tekshirish uchun:
net localgroup administrators
Agar ushbu ro‘yxatda tashkilot siyosatiga ko‘ra bo‘lishi kerak bo‘lmagan foydalanuvchi aniqlansa, uning paydo bo‘lish sababi alohida tekshirilishi lozim.
Grafik interfeys orqali mahalliy foydalanuvchilarni ko‘rish uchun:
lusrmgr.msc
Eslatma:
lusrmgr.msc
ayrim Windows Home nashrlarida mavjud bo‘lmasligi mumkin.
2. Ishlayotgan jarayonlarni tekshirish
Process (jarayon) — Windows tizimida ayni vaqtda ishlayotgan dastur yoki xizmatning bajarilayotgan nusxasidir.
Zararli dasturlar ko‘pincha odatiy tizim jarayonlariga o‘xshash nomlardan foydalanadi. Shu sababli hodisani tekshirish vaqtida noma’lum yoki shubhali jarayonlarni aniqlash muhim.
Birinchi navbatda quyidagilarga e’tibor beriladi:
- jarayon nomi;
- Process ID (PID);
- foydalanayotgan xotira hajmi;
- jarayonni ishga tushirgan ota-jarayon;
- bajarilayotgan faylning joylashuvi;
- jarayonning tarmoqdagi faolligi.
Task Manager
Grafik interfeys orqali jarayonlarni ko‘rish:
taskmgr.exe
CMD orqali
tasklist
Ushbu buyruq ishlayotgan jarayonlarning PID va boshqa asosiy ma’lumotlarini ko‘rsatadi.
PowerShell orqali
Get-Process
Jarayonlarni xizmatlari bilan birga ko‘rish:
tasklist /svc
Ota-jarayonni aniqlash
PowerShell orqali:
Get-CimInstance Win32_Process |
Select-Object Name, ProcessId, ParentProcessId, CommandLine
Bu buyruq jarayon nomi, PID, ota-jarayon PID’i va ishga tushirilgan buyruq satri haqida qo‘shimcha ma’lumot beradi.
Masalan, odatiy Windows jarayoni kutilmagan katalogdan ishga tushgan bo‘lsa yoki noma’lum jarayon boshqa shubhali jarayon tomonidan ishga tushirilgan bo‘lsa, ushbu holat qo‘shimcha tekshiruvni talab qiladi.
3. Windows xizmatlarini tekshirish
Windows xizmatlari tizim ishga tushishi bilan yoki muayyan shartlar asosida avtomatik ravishda ishlashi mumkin. Shu sababli zararli dasturlar tizimda doimiy faol qolish uchun xizmatlardan foydalanishga urinishi mumkin.
Xizmatlarni grafik interfeysda ko‘rish:
services.msc
Ishlayotgan xizmatlarni CMD orqali ko‘rish:
net start
Xizmatlarning holatini batafsil ko‘rish:
sc query
Jarayonlar va ularga bog‘langan xizmatlarni ko‘rish:
tasklist /svc
Tekshiruv vaqtida quyidagilarga e’tibor qaratish kerak:
- noma’lum xizmat nomlari;
- yaqinda paydo bo‘lgan xizmatlar;
- noodatiy katalogdan ishga tushayotgan xizmatlar;
- administrator huquqlari bilan ishlayotgan shubhali xizmatlar;
- tashkilot siyosatiga mos kelmaydigan avtomatik ishga tushirish sozlamalari.
4. Task Scheduler — rejalashtirilgan vazifalar
Windows Task Scheduler dasturlar va skriptlarni ma’lum vaqtda yoki muayyan hodisa yuz berganda avtomatik ishga tushirish imkonini beradi.
Mazkur mexanizm qonuniy maqsadlarda juda ko‘p ishlatiladi. Shu bilan birga, zararli dasturlar tizimda o‘z faoliyatini saqlab qolish uchun undan foydalanishi mumkin.
Rejalashtirilgan vazifalarni CMD orqali ko‘rish:
schtasks
Batafsil ma’lumot olish uchun:
schtasks /query /fo LIST /v
Tekshiruv davomida ayniqsa quyidagilarga e’tibor berish lozim:
- noma’lum vazifalar;
- g‘ayrioddiy nomga ega vazifalar;
PowerShell
,cmd
,wscript
,cscript
yoki noma’lum bajariluvchi fayllarni ishga tushiruvchi vazifalar;- yuqori huquqlar bilan bajariladigan vazifalar;
- yaqinda yaratilgan yoki o‘zgartirilgan vazifalar.
5. Avtomatik ishga tushuvchi dasturlar
Windows tizimida foydalanuvchi tizimga kirganida avtomatik ravishda ishga tushadigan dasturlar mavjud.
Ularni tekshirish uchun Task Manager → Startup apps bo‘limidan foydalanish mumkin.
PowerShell orqali avtomatik ishga tushuvchi dasturlar haqida ma’lumot olish:
Get-CimInstance Win32_StartupCommand |
Select-Object Name, Command, Location, User |
Format-List
Tekshiruvda noma’lum dasturlar, shubhali fayl yo‘llari va kutilmagan foydalanuvchi hisoblari bilan bog‘langan avtomatik ishga tushirish yozuvlariga e’tibor berish kerak.
6. Windows Registry yozuvlarini tekshirish
Windows Registry operatsion tizim va o‘rnatilgan dasturlarning turli konfiguratsiya ma’lumotlarini saqlaydi.
Ayrim zararli dasturlar tizim qayta ishga tushirilgandan keyin ham avtomatik ravishda ishga tushish uchun Registry’dagi tegishli yozuvlardan foydalanishi mumkin.
Masalan, umumiy Run kalitlarini tekshirish:
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
Joriy foydalanuvchi uchun:
reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"
Shuningdek, Registry’dagi noma’lum yoki kutilmagan avtomatik ishga tushirish yozuvlarini tekshirish mumkin.
Muhim: Registry’ni tekshirish va ayniqsa o‘zgartirishda ehtiyotkorlik talab etiladi. Noto‘g‘ri o‘zgartirish Windows yoki ayrim dasturlarning ishlashiga salbiy ta’sir ko‘rsatishi mumkin.
7. Faol TCP va UDP ulanishlarini tekshirish
Tarmoq ulanishlari hodisani tekshirishda eng muhim manbalardan biridir.
Agar kompyuterda zararli dastur ishlayotgan bo‘lsa, u tashqi server bilan aloqa o‘rnatishi, ma’lumot yuborishi yoki buyruqlarni qabul qilishi mumkin.
Faol tarmoq ulanishlarini ko‘rish:
netstat -ano
Bu yerda:
- Local Address — mahalliy IP-manzil va port;
- Foreign Address — masofaviy IP-manzil va port;
- State — ulanish holati;
- PID — ulanishdan foydalanayotgan jarayon identifikatori.
Masalan, shubhali tashqi IP-manzil aniqlansa, uning qaysi jarayonga tegishli ekanini PID orqali tekshirish mumkin.
PowerShell’da TCP ulanishlarini ko‘rish:
Get-NetTCPConnection |
Sort-Object LocalPort
Muayyan IP-manzil bo‘yicha tekshirish uchun:
Get-NetTCPConnection -LocalAddress "192.168.0.110" |
Sort-Object LocalPort
Eslatma: IP-manzil misol sifatida keltirilgan. Amaliy tekshiruvda tashkilotning haqiqiy manzil diapazoni qo‘llanadi.
8. Tarmoqdagi umumiy resurslar va SMB ulanishlarini tekshirish
Windows muhitida fayl va boshqa resurslarni tarmoq orqali ulashish keng tarqalgan. Biroq keraksiz yoki ruxsatsiz umumiy resurslar xavfsizlik uchun qo‘shimcha xavf tug‘dirishi mumkin.
Mahalliy SMB ulashishlarini PowerShell orqali ko‘rish:
Get-SmbShare
Tarmoqdagi ulanishlar va umumiy resurslarni tekshirishda:
net view \\localhost
Shuningdek, tizimda mavjud tarmoq ulanishlarini ko‘rish:
net use
Tekshiruv vaqtida noma’lum umumiy papkalar, kutilmagan tarmoq ulanishlari yoki foydalanuvchi uchun zarur bo‘lmagan resurslarga berilgan keng huquqlar aniqlanishi mumkin.
9. Fayllarni tekshirish
Hodisani o‘rganishda yaqinda yaratilgan yoki o‘zgartirilgan fayllar muhim dalil bo‘lishi mumkin.
Ayniqsa quyidagilarga e’tibor berish lozim:
- noma’lum
.exe
,.dll
,.ps1
,.bat
,.vbs
fayllari; - tizim kataloglarida kutilmagan fayllar;
- yaqinda o‘zgartirilgan fayllar;
- noodatiy nomga ega fayllar;
- vaqtinchalik kataloglardan ishga tushirilayotgan bajariluvchi fayllar.
Masalan, so‘nggi 10 kun ichida o‘zgartirilgan .exe
fayllarni qidirish:
forfiles /D -10 /S /M *.exe /C "cmd /c echo @path"
Fayl nomi va o‘zgartirilgan sanasi haqida ma’lumot olish:
forfiles /D -10 /S /M *.exe /C "cmd /c echo @ext @fname @fdate"
Muayyan diskda yaqinda o‘zgartirilgan fayllarni ko‘rish:
forfiles /P C:\ /S /D -10
Muhim: Faqat faylning yangi yoki noma’lum ekanligi uning zararli ekanini anglatmaydi. Har bir topilma faylning joylashuvi, raqamli imzosi, hash qiymati, yaratilish va o‘zgartirilish vaqti hamda boshqa dalillar bilan birgalikda baholanishi kerak.
10. Windows Firewall sozlamalarini tekshirish
Firewall tizimga kiruvchi va undan chiquvchi tarmoq ulanishlarini nazorat qilishda muhim himoya vositasidir.
Hozirgi Windows tizimlarida Firewall sozlamalarini tekshirish uchun quyidagi buyruqlardan foydalanish mumkin:
netsh advfirewall show allprofiles
Joriy profilni ko‘rish:
netsh advfirewall show currentprofile
Qoidalarni ko‘rish:
netsh advfirewall firewall show rule name=all
Tekshiruv vaqtida quyidagilarga e’tibor qaratish kerak:
- yaqinda yaratilgan qoidalar;
- noma’lum dasturlarga berilgan ruxsatlar;
- kutilmagan inbound qoidalar;
- tashqi tarmoqqa chiqishga ruxsat beruvchi noodatiy qoidalar;
- tashkilot xavfsizlik siyosatiga zid sozlamalar.
Eski Windows muhitlarida uchrashi mumkin bo‘lgan:
netsh firewall show config
buyrug‘i o‘rniga zamonaviy tizimlarda netsh advfirewall
buyruqlaridan foydalanish maqsadga muvofiq.
11. Boshqa tizimlar bilan o‘rnatilgan sessiyalar
Tizimning boshqa kompyuter yoki serverlar bilan qanday tarmoq sessiyalarini o‘rnatgani ham hodisani tekshirishda muhim ma’lumot beradi.
Quyidagi buyruqdan foydalanish mumkin:
net use
Bu orqali mavjud tarmoq ulanishlari, jumladan xaritalangan tarmoq resurslari haqida ma’lumot olish mumkin.
Agar foydalanuvchi yoki kompyuter tomonidan kutilmagan serverga ulanish aniqlansa, ushbu aloqa qaysi jarayon yoki faoliyat natijasida yuzaga kelganini qo‘shimcha tekshirish kerak.
12. Ochiq sessiyalarni tekshirish
Tizimga boshqa kompyuterlardan o‘rnatilgan sessiyalarni tekshirish uchun:
net session
Ushbu buyruq ayniqsa serverlarda foydali bo‘lishi mumkin.
Agar noma’lum kompyuter yoki foydalanuvchi tomonidan o‘rnatilgan sessiya aniqlansa, uning qonuniyligi, qachon tashkil etilgani va qanday faoliyat bilan bog‘liqligi tekshiriladi.
13. Windows Event Log jurnallarini tekshirish
Incident Response jarayonidagi eng muhim manbalardan biri — Windows Event Logs.
Ular tizimda yuz bergan ko‘plab hodisalar haqida ma’lumot saqlaydi. Jumladan:
- foydalanuvchining tizimga kirishi va chiqishi;
- muvaffaqiyatsiz autentifikatsiya urinishlari;
- yangi foydalanuvchi hisoblarining yaratilishi;
- huquqlarning o‘zgarishi;
- xizmatlarning ishga tushishi yoki to‘xtashi;
- jarayonlar bilan bog‘liq ayrim hodisalar;
- xavfsizlik siyosatidagi o‘zgarishlar.
Event Viewer’ni ochish:
eventvwr.msc
Security jurnalidagi hodisalarni CMD orqali ko‘rish:
wevtutil qe Security
Mavjud event log jurnallari ro‘yxatini PowerShell orqali ko‘rish:
Get-WinEvent -ListLog *
Muayyan jurnalni ko‘rish uchun:
Get-WinEvent -LogName Security -MaxEvents 50
Windows muhitida hodisalarni tahlil qilishda ayrim Event IDlar ham alohida ahamiyatga ega. Masalan:
- 4624 — muvaffaqiyatli tizimga kirish;
- 4625 — muvaffaqiyatsiz tizimga kirish;
- 4720 — yangi foydalanuvchi hisobining yaratilishi;
- 4728 — foydalanuvchining global security-enabled guruhga qo‘shilishi;
- 4732 — foydalanuvchining lokal security-enabled guruhga qo‘shilishi.
Biroq Event ID’ni alohida ko‘rib xulosa chiqarish to‘g‘ri emas. Hodisaning vaqti, foydalanuvchi, kompyuter nomi, IP-manzil va boshqa tegishli yozuvlar bilan bog‘lab tahlil qilish zarur.
14. Hodisani tekshirishda nimalarga e’tibor berish kerak?
Windows tizimida dastlabki Incident Response tekshiruvini quyidagi ketma-ketlikda tashkil etish mumkin:
1. Tizim holatini qayd etish
Hodisa aniqlangan vaqt, kompyuter nomi, foydalanuvchi va mavjud alomatlar qayd etiladi.
2. Foydalanuvchilarni tekshirish
Noma’lum hisoblar va administrator huquqiga ega foydalanuvchilar aniqlanadi.
3. Jarayonlarni tekshirish
Noma’lum jarayonlar, ularning PID’i, ota-jarayoni va bajarilayotgan fayl yo‘li o‘rganiladi.
4. Tarmoq ulanishlarini tahlil qilish
Noma’lum IP-manzillar, ochiq portlar va shubhali tashqi ulanishlar aniqlanadi.
5. Doimiy ishlash mexanizmlarini tekshirish
Services, Task Scheduler, Startup va Registry Run yozuvlari ko‘rib chiqiladi.
6. Fayllarni tahlil qilish
Yaqinda yaratilgan yoki o‘zgartirilgan shubhali fayllar aniqlanadi.
7. Firewall sozlamalarini tekshirish
Kutilmagan ruxsatlar va yangi qoidalar mavjudligi o‘rganiladi.
8. Event Log’larni tahlil qilish
Autentifikatsiya, hisoblar, xizmatlar va boshqa muhim hodisalar vaqt bo‘yicha taqqoslanadi.
9. Dalillarni saqlash
Aniqlangan loglar, fayllar, hash qiymatlari va boshqa raqamli dalillar imkon qadar o‘zgartirilmagan holda saqlanadi.
10. Hodisaning ko‘lamini aniqlash
Hujum yoki zararli faoliyat faqat bitta kompyuter bilan cheklanganmi yoki boshqa tizimlarga ham tarqalganmi — shu masala tekshiriladi.
15. Muhim amaliy tavsiyalar
Incident Response vaqtida aniqlangan shubhali fayl yoki jarayonni darhol o‘chirib yuborish har doim ham to‘g‘ri qaror emas. Chunki bu harakat muhim raqamli dalillarning yo‘qolishiga olib kelishi mumkin.
Shuning uchun:
- dalillarni imkon qadar avval qayd etish;
- tegishli loglarni saqlab qolish;
- fayllarning hash qiymatlarini hisoblash;
- tizimdagi vaqt va vaqt mintaqasi sozlamalarini qayd etish;
- shubhali jarayonlarning PID va fayl yo‘llarini yozib olish;
- tarmoq ulanishlari haqidagi ma’lumotlarni saqlash;
- zarur hollarda tizimni tarmoqdan izolyatsiya qilish;
- tashkilotning Incident Response rejasi asosida harakat qilish tavsiya etiladi.
Agar hodisa jiddiy bo‘lsa, tizimni o‘chirib-yoqish, fayllarni o‘chirish yoki antivirus yordamida barcha shubhali obyektlarni avtomatik tozalashdan oldin raqamli kriminalistika talablari hisobga olinishi kerak.
Windows tizimida yuzaga kelgan kiberxavfsizlik hodisasini aniqlash faqat antivirus tekshiruvini ishga tushirish bilan cheklanmaydi. Tizimdagi foydalanuvchi hisoblari, jarayonlar, xizmatlar, rejalashtirilgan vazifalar, avtomatik ishga tushuvchi dasturlar, Registry yozuvlari, tarmoq ulanishlari, umumiy resurslar, fayllar, Firewall qoidalari va Event Log jurnallari bir-biri bilan bog‘liq holda tahlil qilinishi kerak.
Bir qarashda oddiy ko‘ringan ma’lumot — masalan, noma’lum jarayon, kutilmagan administrator hisobi yoki g‘ayrioddiy tarmoq ulanishi — boshqa dalillar bilan birgalikda tahlil qilinganda kiberhujumning muhim belgisi bo‘lishi mumkin.
Shu sababli Incident Response — hodisa yuz bergandan keyingi harakat emas, balki tashkilotning kiberxavfsizlik jarayonining ajralmas qismi sifatida qaralishi lozim.
Windows tizimlarini muntazam monitoring qilish, xavfsizlik jurnallarini markazlashtirilgan holda yig‘ish, foydalanuvchi huquqlarini cheklash, endpoint himoya vositalaridan foydalanish va hodisalarga chora ko‘rish bo‘yicha aniq tartiblarning mavjudligi kiberxavfsizlik hodisalarini erta aniqlash hamda ularning oqibatlarini kamaytirishga xizmat qiladi.
Axborot va kiberxavfsizlikka mas’ul rahbarlar hamda texnik mutaxassislar diqqatiga! Tashkilotingizdagi Windows ishchi stansiyalari va serverlarida yuqoridagi ko‘rsatkichlarni muntazam nazorat qiling. Noma’lum foydalanuvchi, shubhali jarayon, kutilmagan xizmat, noodatiy tarmoq ulanishi yoki g‘ayrioddiy Event Log yozuvlari aniqlansa, holatni batafsil o‘rganing va zarur choralarni o‘z vaqtida ko‘ring.