# SIEM va SOC — Xavfsizlik Monitoringi: Kim 24 Soat Tizimni Kuzatadi? > Shahar militsiyasi tungi smenada ishlaydi — uxlab yotgan vaqtingizda ham xavfsizlik ta'minlanadi. SOC ham xuddi shunday: kompaniya tizimlarini 24/7 kuzatuvchi "xavfsizlik posboni". ## 🔄 Eslab Ko'ring (Oldingi Darsdan) > Oldingi darsda Defense in Depth — 7 qatlamli himoya strategiyasini ko'rdik. 5-qatlam (Endpoint) va 4-qatlam (Tarmoq) nima edi? Eslab ko'ring, keyin davom eting. ## 🔍 Darsdan Oldin Bir Daqiqa > **O'ylab ko'ring:** Kompaniyada 500 ta kompyuter bor. Har birida har daqiqada yuzlab voqea (fayl ochildi, dastur ishga tushdi, tarmoqqa ulanish bo'ldi) sodir bo'ladi. Buni kim kuzatadi? Qanday? > _(Javobingizni eslab qoling — dars oxirida fikringiz o'zgarganini ko'rasiz.)_ ## 🎯 Bu Darsdan Keyin Siz - SOC nima ekanini va qanday ishlashini tushunasiz - SIEM tizimi loglarni qanday yig'ib, tahlil qilishini bilasiz - SOC analitik darajalari (L1, L2, L3) orasidagi farqni aytasiz - Muhim Windows hodisa (event) ID larini taniyasiz - Korrelyatsiya nima ekanini va nima uchun muhimligini tushunasiz !!! tip "Bu dars qaysi qatlam haqida?" Oldingi darsda 7 qatlamni ko'rdik. SIEM va SOC — bu **monitoring qatlami**: u boshqa barcha qatlamlarni yuqoridan kuzatadigan "ko'z". Firewall, EDR, ilovalar — hammasi SIEM ga log yuboradi. SOC esa shu loglarni o'qiydigan jamoa. --- ## SOC — Xavfsizlik Operatsiyalar Markazi 🌍 **O'xshatish:** Shahardagi 911 markazi. Operatorlar barcha qo'ng'iroqlarni eshitadi, muhimini ajratadi, tez yordam, militsiya, yoki o't o'chiruvchini yuboradi. Hamma narsa jurnalga yoziladi. 24 soat ishlaydi. 📖 **Ta'rif:** **SOC (Security Operations Center — Xavfsizlik Operatsiyalar Markazi)** — kompaniya tizimlarini 24 soat, 7 kun kuzatadigan, hujumlarni aniqlagan va ularga javob beradigan maxsus jamoa va ularning ish joyi. 🛡️ **Nega muhim:** Hujum har qanday vaqtda bo'lishi mumkin. SOC bo'lmasa, hujumchi bir necha oy bilnmagan holda ichki tizimda ishlaydi. (O'rtacha aniqlash vaqti — 197 kun!) 🔎 **Ishlangan misol:** ``` Kechasi 03:14 da: → SIEM alert: bir xodim accountidan Rossiyadan login urinishi → SOC L1 analitik alertni ko'radi → Accountni vaqtincha bloklaydi → L2 ga o'tkazadi → L2 tahlil qiladi: xodim Dam Omonov bugun Toshkentda edi → Qaror: hujum urinishi, hisob qayta tiklanadi, IP bloklash → Xodimga xabar beriladi Darsdan oldingi savol: 500 kompyuter bu jarayonsiz boshqarib bo'lmaydi! ``` ### SOC alert qanday qayta ishlanadi? (oqim) Quyidagi ketma-ketlik chizmasi bitta alert SIEM dan kelib, SOC jamoasidan o'tib, javobga aylanish yo'lini ko'rsatadi. Har bir qadam — ahamiyatli: ```mermaid sequenceDiagram participant LOG as Log manbasi participant SIEM as SIEM participant L1 as SOC L1 participant L2 as SOC L2 participant SYS as Tizim LOG->>SIEM: Hodisa logi SIEM->>SIEM: Korrelyatsiya + qoida SIEM->>L1: Signal (alert) L1->>L1: Saralash (triage) L1->>SYS: Tez choralar (bloklash) L1->>L2: Murakkab hodisa o'tkazish L2->>L2: Chuqur tahlil L2->>SYS: To'liq javob (izolyatsiya, tozalash) L2-->>LOG: Yangi aniqlash qoidasi ``` !!! info "Oddiy tilda" SIEM — bu "signal beruvchi". SOC — bu "signalga javob beruvchi odamlar". SIEM hech qachon o'zi qaror qilmaydi (ko'pincha) — u faqat "diqqat, bu shubhali!" deydi. Qarorni odam qabul qiladi. --- ### SOC Jamoasi: Kim Kim? SOC bir necha daraja (Level) bo'yicha ishlaydi: | Daraja | Rol | Asosiy Vazifa | Tajriba | |--------|-----|---------------|----------| | **L1** | SOC Analitik | Alertlarni ko'rib, birinchi javob beradi | 0–2 yil | | **L2** | Katta Analitik | Chuqur tahlil, hodisa boshqaruvi | 2–5 yil | | **L3** | Ekspert Analitik | Threat hunting (proaktiv qidiruv), zararli dastur tahlili | 5+ yil | | **SOC Menejer** | Rahbar | Jamoani boshqarish, strategiya | 7+ yil | | **Hodisaga Javob Mutaxassisi** | Incident Responder | Hujumni to'xtatish, tizimni tozalash | 3+ yil | | **Tahdid Razvedkasi** | Threat Intelligence | Hujumchilar guruhlarini kuzatish | 5+ yil | !!! tip "Karyera maslahati" Ko'pchilik SOC ga L1 darajada kiradi — bu kiberxavfsizlikka eng keng tarqalgan "kirish eshigi". L1 da siz alertlarni o'qishni, loglarni tushunishni o'rganasiz. 1-2 yildan keyin L2 ga o'tasiz. Bu — real, qadam-baqadam yo'l. --- ## SIEM — SOC ning Asosiy Vositasi 🌍 **O'xshatish:** Zavodda barcha kameralar, darvozalar, sensorlar bitta nazorat markaziga ulanadi. Operator bir ekranda hamma narsani ko'radi. Biron narsa g'ayritabiiy bo'lsa — signal chaladi. Bu SIEM. 📖 **Ta'rif:** **SIEM (Security Information and Event Management — Xavfsizlik Ma'lumotlari va Hodisalarni Boshqarish)** — barcha tizimlardan log (yozuv) yig'ib, ularni tahlil qilib, shubhali faoliyatda signal beradigan dastur. 🛡️ **Nega muhim:** SIEM bo'lmasa, analitik yuzlab alohida log faylini qo'lda ko'rishga majbur. SIEM barchasini birlashtirib, muhimni ajratib beradi. 🔎 **SIEM arxitekturasi — qanday ishlaydi:** ``` Log Manbalari → SIEM Engine → Chiqish Firewall loqlari → Yig'ish (Collect) → Dashboard IDS/IPS signallari → Tahlil (Parse) → Chipta tizimi Endpoint (EDR) → Korrelyatsiya → Avtomatik javob Active Directory → Signal yaratish Ilovalar Cloud xizmatlar ``` ```mermaid graph LR subgraph Manba["Log Manbalari"] FW["Firewall"] IDS["IDS/IPS"] EP["Endpoint (EDR)"] AD["Active Directory"] APP["Ilovalar"] CL["Cloud"] end subgraph Engine["SIEM Engine"] COL["Yig'ish"] --> PAR["Tahlil"] PAR --> COR["Korrelyatsiya"] COR --> ALE["Signal"] end subgraph Out["Chiqish"] DASH["Dashboard"] TIC["Chipta"] RES["Avtomatik javob"] end FW --> COL IDS --> COL EP --> COL AD --> COL APP --> COL CL --> COL ALE --> DASH ALE --> TIC ALE --> RES ``` --- ### Korrelyatsiya — SIEM ning Sehrli Kuchi 📖 **Ta'rif:** **Korrelyatsiya** — bir necha alohida hodisalarni birlashtirish va ular orasidagi bog'liqlikni topish. 🌍 **O'xshatish:** Alohida-alohida ko'rsangiz: biri do'konga kirdi, biri cho'ntagini ko'tardi, biri tez chiqib ketdi — har biri shubhali emas. Lekin birgalikda: o'g'irlik zanjiri! ``` Alohida loglar (shubhali emas ko'rinadi): 1. VPN: Jasur tizimga kirdi (14:22) 2. AD: Jasur moliya papkasiga kirdi (14:25) 3. DLP: Jasur 2 GB fayl yukladi (14:30) SIEM korrelyatsiya: 🚨 SIGNAL: VPN login → Maxfiy ma'lumot → Katta hajmda yuklash! Daraja: CRITICAL Javobgar: SOC L2 ``` !!! important "Korrelyatsiya = qatlamlarni birlashtirish" Diqqat qiling: yuqoridagi 3 log uchta **turli qatlamdan** keldi — VPN (perimeter), AD (kirish nazorati), DLP (ma'lumot qatlami). Har biri alohida shubhali emas. Lekin SIEM ularni birlashtirganda, yashirin hujum zanjiri ko'rinadi. Bu — Defense in Depth ning kuchi: ko'p qatlam = ko'p ko'rish nuqtasi. --- ### Mashhur SIEM Tizimlari | SIEM | Turi | Narxi | Kimga Mos | |------|------|-------|----------| | **Splunk** | Bulutli/Mahalliy | $$$$ | Yirik korxonalar | | **QRadar** (IBM) | Mahalliy | $$$ | Enterprise SOC | | **Microsoft Sentinel** | Bulutli (Azure) | $$ | Azure foydalanuvchilari | | **Elastic SIEM** | Ochiq kodli | $ | Startaplar | | **Wazuh** | Ochiq kodli | Bepul | O'rganish, kichik biznes | --- ## SIEM Qoidasi (Rule) — Qanday Yoziladi? SIEM tizimiga siz qoida yozasiz: "Qachon signal ber?" Masalan: ```yaml Qoida: Brute Force (qo'pol kuch) hujumini aniqlash Tavsif: 5 daqiqada bitta IP dan 10+ marta login urinishi Shart: hodisa_turi: muvaffaqiyatsiz_login soni: >= 10 vaqt: 5 daqiqa guruhlash: manba_ip Javob: - Yuqori darajali signal yaratish - Firewall da IP ni bloklash (avtomatik) - SOC L1 ni xabardor qilish ``` Bu SIEM ning klassik "Brute Force" qoidasi — millionlab kompaniya ishlatadi. --- ## Loglar: Tizim Nima Yozadi? 📖 **Ta'rif:** **Log** — tizim yoki dastur o'z faoliyatini qayd etadigan yozuv. Hodisaning vaqti, kim qildi, nima qildi yoziladi. ### Syslog (RFC 5424 standarti) ``` <34>1 2024-06-15T09:14:22Z web-srv sshd 4521 - - admin uchun login muvaffaqiyatsiz: 185.143.223.47 ``` O'qish: `34` — muhimlik darajasi, `web-srv` — server nomi, `sshd` — SSH xizmati, `4521` — jarayon ID, keyin xabar. ### Muhim Windows Hodisa ID lari 📖 **Ta'rif:** Windows har bir muhim hodisani raqam bilan belgilaydi — **Event ID**. SOC analitiklari bu raqamlarni yoddan biladi. | Event ID | Ma'nosi | Ahamiyati | |----------|---------|----------| | **4624** | Muvaffaqiyatli login | Odatiy | | **4625** | Muvaffaqiyatsiz login | Brute force? | | **4720** | Yangi foydalanuvchi yaratildi | Doimiylik? | | **4732** | Foydalanuvchi admin guruhga qo'shildi | Huquq kengayishi! | | **7045** | Yangi xizmat o'rnatildi | Zararli dastur? | | **1102** | Audit log tozalandi | Izlarni o'chirish! | !!! danger "1102 — Eng Xavfli Signal" Hujumchi tizimga kirgandan keyin izlarni o'chiradi. Event ID 1102 — audit log tozalanganini ko'rsatadi. Bu deyarli har doim hujumchi yoki ichki tahdid belgisi. --- ### Windows Event Log Namunasi ```xml 4625 admin 185.143.223.47 10 ``` Bu log Rossiya IP manzilidan `admin` accountiga RDP orqali kirish urinishini ko'rsatadi. --- ## SOC Samaradorlik Ko'rsatkichlari (KPI) | Ko'rsatkich | Nima o'lchaydi | Sanoat O'rtachasi | |-------------|---------------|-------------------| | **MTTD** (Mean Time to Detect — o'rtacha aniqlash vaqti) | Hujumni necha kunda topdi | 197 kun (IBM 2024) | | **MTTR** (Mean Time to Respond — o'rtacha javob vaqti) | Aniqlangandan javobgacha | 69 kun | | **Soxta Signal** (False Positive) | Noto'g'ri signal foizi | 40–60% | !!! warning "197 kun!" Hujumchilar o'rtacha 197 kun — 6 oydan ko'p — aniqlanmay tizimda ishlaydi. Shuning uchun SOC va SIEM ning samarali ishlashi hayotiy muhim. --- ## 📋 SOC L1 Analitik uchun Triage Checklist Alert kelganda, L1 analitik quyidagi tartibda tekshiradi. Bu — real SOC da ishlatiladigan ketma-ketlik: - [ ] Alert qaysi manbadan keldi? (Firewall? EDR? AD?) - [ ] Qaysi foydalanuvchi yoki qurilma bilan bog'liq? - [ ] Vaqt mantiqlimi? (Tunda login? Dam olish kunida faollik?) - [ ] IP manzil ichki yoki tashqarimi? Reputatsiyasi qanday? - [ ] Bu alert yolg'iz keldimi yoki boshqa alertlar bilan birgami? (korrelyatsiya) - [ ] Soxta signal (false positive) bo'lishi mumkinmi? - [ ] Tez chora kerakmi? (hisobni bloklash, qurilmani izolyatsiya) - [ ] L2 ga o'tkazish kerakmi? !!! tip "Saralash (triage) san'ati" L1 ning ishi — hammasini hal qilish emas, balki **ajratish**: qaysi alert haqiqiy xavf, qaysi biri shovqin. Yaxshi L1 analitik kuniga yuzlab alertdan eng muhim 5 tasini topa oladi. --- ## ⚠️ Keng Tarqalgan Xatolar | Noto'g'ri tushuncha | Haqiqat | |---------------------|----------| | "SIEM va SOC bir narsa" | SIEM — dastur (vosita), SOC — jamoa va jarayon. | | "L1 analitik hamma narsani hal qiladi" | L1 faqat triage (saralash) qiladi. Murakkab hodisalar L2/L3 ga o'tadi. | | "Ko'p signal = yaxshi SOC" | Ko'p soxta signal analitikni toliqtiradi. Sifatli signal muhimroq. | | "SIEM o'rnatildi = xavfsiz" | SIEM faqat ko'radi. Undan foydalanadigan bilimli jamoa kerak. | ## ✅ Tez Tekshiruv — Bilasizmi? **Savol:** SIEM korrelyatsiyasi nima uchun alohida logdan ko'ra muhimroq?

Javobni ko'rish

Alohida hodisalar (VPN login, fayl kirish, katta yuklama) har biri shubhali ko'rinmasligi mumkin. Korrelyatsiya ularni birlashtiradi va yashirin hujum zanjirini ko'rsatadi. Bu "izlarni birlashtirish" — detective ishi kabi.

??? note "Tez tekshiruv: javobni ko'rish uchun bosing" **Savol:** SIEM bilan SOC ning farqi nima — bittasini bittasi bilan almashtirib bo'ladimi? **Javob:** Yo'q. SIEM — dastur (signal beruvchi vosita). SOC — odamlar jamoasi (signalga javob beruvchi). SIEM yolg'iz qaror qilmaydi, SOC esa vositasiz yuzlab logni qo'lda ko'ra olmaydi. Ular birga ishlaydi. ## ⚖️ Etika Eslatmasi SOC analitiklari real odamlarning faoliyatini kuzatadi. Bu katta mas'uliyat. Ma'lumotlar faqat xavfsizlik maqsadida ishlatiladi. Ruxsatsiz monitoring — O'zR JK 278-modda bo'yicha javobgarlik. White-hat mutaxassis huquq doirasida ishlaydi. ## ✅ Eng Muhimi - SOC — 24/7 ishlaydi, tizimni kuzatadi, hujumlarga javob beradi. - SIEM — SOC ning asosiy vositasi: loglarni yig'adi, korrelyatsiya qiladi, signal beradi. - L1 saralaydi, L2 tahlil qiladi, L3 proaktiv qidiradi. - Windows Event ID lari (ayniqsa 4625, 4732, 1102) SOC analitiki uchun muhim. - O'rtacha hujum 197 kun aniqlanmay qoladi — proaktiv monitoring zarurligi shunda. ## ➡️ Keyingi Qadam **Keyingi dars:** EDR va Threat Hunting — endpoint kuzatuvi qanday ishlashi va proaktiv qidiruv usullari. **Hayotda qo'llang:** Bugun Windows kompyuteringizda Event Viewer ni oching: Start → Event Viewer → Windows Logs → Security. Qanday hodisalarni ko'rasiz? **1 soatdan keyin eslab ko'ring:** SIEM, SOC, korrelyatsiya — uchala tushunchani tushuntira olasizmi? Yozmasdan eslang.

Defense in Depth

Defense in Depth — Ko'p Qatlamli Himoya Strategiyasi