Tungi smena, **Calderwood Mutual** (sug'urta operatori) xavfsizlik markazi. Siz — **Night Watch** smenasining L2 analitigisiz. Kompaniya portali va ichki tizimlari bo'yicha **Halden Security** firmasining avtorizatsiyalangan pentesti davom etmoqda, lekin SIEM buni bilmaydi: u faqat trafikni ko'radi. Smena boshida navbatda **6 ogohlantirish** turibdi va ularning bir qismi — ijrochining ishi, bir qismi esa **ijrochi emas**. Sizning qo'lingizda bitta hokim hujjat bor: **deconfliction yozuvi**. U to'rtta nazorat maydonini belgilaydi — avtorizatsiyalangan manba IP'lari (`source-ip`), ruxsat berilgan maqsad segmenti (`target-scope`), ruxsat oynasi (`window`) va aynan shu engagement belgisi (`marker`). Har ogohlantirishda yozuvning **ko'pi bilan bitta** maydoni mos kelmaydi — aynan o'sha maydon qarorni belgilaydi. Diqqat: belgi (`X-Engagement` header) **so'rov ichida** keladi, ya'ni uni har kim yozishi mumkin. ## 🎯 Maqsad Navbatdagi har ogohlantirishga dispozitsiya qo'ying va **qaysi maydon qaror qilganini** ko'rsating; engagement chetlashishlarini red team lead'ga yetkazib hujjatlang; dushman faoliyat uchun hodisaga javob ochin. Navbat toza bo'lgach smenani topshirasiz va **Shift Handover Record** (flag) beriladi. Dispozitsiyalar: `authorized` · `scope-violation` · `roe-violation` · `hostile`. Dalil (`basis`): `all-match` · `source-ip` · `target-scope` · `window` · `marker`. > ⚠️ Har ogohlantirish uchun **5 xato urinish**. Beshinchisidan keyin ogohlantirish smena boshlig'iga eskalatsiya qilinadi (`423`) va smena topshirilmaydi. Triage — taxmin qilish emas, dalilni o'qish. ## 🚀 Ishga tushirish 1. Pastdagi **Deploy** tugmasini bosing — ~20 soniyada shaxsiy nusxangiz tayyor bo'ladi. 2. Sizga `https://.lab.hacknow.uz` havolasi beriladi. Bu **web lab** — **VPN/tun0 kerak emas**, brauzer yoki `curl` yetadi. Brauzerda "Night Watch" boardida deconfliction yozuvi, SIEM navbati va smena topshiriq varag'i ko'rinadi; har ogohlantirishda dispozitsiya formasi bor. ## 🔍 Razvedka va smena ```bash U=https://.lab.hacknow.uz # 0) hokim manba — yozuv: allowlist, scope CIDR, oyna, marker, yopilgan ref, # favqulodda kontakt va smena kaliti (analyst_key) curl -s "$U/api/deconfliction" # 1) navbat va bitta ogohlantirishning to'liq xom logi curl -s "$U/api/alerts" curl -s "$U/api/alerts/" # 2) dispozitsiya + dalil (qaysi maydon qaror qildi) curl -s -X POST "$U/triage" -d "analyst_key=&alert_id=&disposition=<...>&basis=<...>&raw=1" # 3) engagement chetlashishi: avval red team lead'ga qo'ng'iroq, so'ng yozuv curl -s -X POST "$U/deconfliction/notify" -d "analyst_key=&alert_id=&contact=&raw=1" curl -s -X POST "$U/incident/file" -d "analyst_key=&alert_id=&classification=deviation&raw=1" # 4) dushman faoliyat: to'g'ridan-to'g'ri hodisaga javob curl -s -X POST "$U/incident/file" -d "analyst_key=&alert_id=&classification=hostile&raw=1" # 5) smenani topshirish -> Shift Handover Record curl -s -X POST "$U/shift/close" -d "analyst_key=&raw=1" ``` Konsol javoblari (dars — flag bermaydi): dispozitsiya dalilga mos kelmasa `422`; 5 xatodan keyin `423`; qaror qo'yilmagan ogohlantirishga qo'ng'iroq yoki yozuv `425`; qo'ng'iroqsiz chetlashish yozuvi `428`; favqulodda kontakt yozuvga mos kelmasa `412`; avtorizatsiyalangan faoliyatga IR ochish yoki dushman faoliyat uchun red team lead'ga qo'ng'iroq `409`; `analyst_key` noto'g'ri `401`. > **Eslatma:** flag faqat **sizning konteyneringizda** amal qiladi. Smena raqami, `analyst_key`, ogohlantirish id'lari, tester IP'lari, scope CIDR, engagement belgisi va favqulodda kontakt har nusxada tasodifiy — ularni o'z labingizdan oling.

Calderwood Night Watch: SIEM navbatini deconfliction yozuvi bilan yop