# Etik hacker ahdi: men nima va'da qilaman? > Bu dars — amaliy. Siz faqat o'qimaysiz: o'z majburiyatlaringizni shakllantirasiz. ## 🔄 Eslab ko'ring > Oldingi darsda karyera yo'llarini ko'rdik. Blue Team, Red Team va GRC — har birining asosiy farqi nima edi? Eslab ko'ring, keyin davom eting. ## 🔍 Darsdan oldin bir daqiqa > **O'ylab ko'ring:** «Men yaxshi niyat bilan qildim» — bu yuridik himoya bo'la oladimi? > _(Javobingizni eslab qoling — dars oxirida aniq javob topasiz.)_ ## 🎯 Bu darsdan keyin siz - Etik hacker sifatida asosiy majburiyatlarni sanab bera olasiz. - Murakkab holatlarda to'g'ri qaror qabul qila olasiz. - O'zingizning shaxsiy Code of Conduct ni yoza olasiz. - CTF topshirig'ini bajara olasiz. --- ## Etik hacking — uch asosiy prinsip 🌍 **Hayotiy misol:** Shifokor uch qoidaga rioya qiladi: avval zarar yetkazma, bemorning roziligi bo'lmasa muolaja qilma, maxfiylikni saqla. Etik hacker ham xuddi shu uch prinsipga asoslanadi. 📖 **Etik hacking** — tashkilot yozma ruxsati bilan tizim zaifliklarini topish va himoyaga yordam berish kasbiy faoliyati. 🛡️ **Uch asosiy prinsip:** ```text title="Etik hacking ustunlari" 1. AUTHORIZATION (Ruxsatnoma) — yozma ruxsatisiz hech narsa 2. DISCLOSURE (Oshkor qilish) — topilganni mas'uliyatli oshkor qilish 3. MINIMIZATION (Minimal ta'sir) — tizimga zarar yetkazmaslik ``` ```mermaid flowchart LR P1["Authorization
yozma ruxsat"] --> ACT["Etik test"] P2["Disclosure
mas'uliyatli xabar"] --> ACT P3["Minimization
minimal ta'sir"] --> ACT ACT --> OK["Qonuniy, professional"] style OK fill:#059669,color:#fff ``` 🔎 **Ishlangan misol:** Kamola pentester sifatida ishlaydi. U uchta qoidaga rioya qiladi: (1) faqat shartnomada ko'rsatilgan tizimlarni tekshiradi — ruxsatnoma; (2) zaiflik topsa — kompaniyaga xabar beradi, ommaga emas — mas'uliyatli oshkor qilish; (3) testdan keyin barcha test ma'lumotlarini o'chiradi — minimal ta'sir. --- ## Etik hacker Code of Conduct ### 1. Qonuniylik ```text title="1. Qonuniylik" Majburiyatlar: [+] Faqat YOZMA RUXSAT bilan tizimlarni test qilaman [+] Bug Bounty dasturlarining Scope va Rules ni avval o'qiyman [+] Mahalliy qonunlarga rioya qilaman (O'zR JK 278-modda) Taqiq: [-] Ruxsatsiz hech qanday tizimga kirmayman [-] Boshqa foydalanuvchilar ma'lumotidan foydalanmayman [-] «Yaxshi niyat» bahona qilmayman ``` ### 2. Professional mas'uliyat ```text title="2. Professional mas'uliyat" Majburiyatlar: [+] Topilgan zaifliklarni darhol xabar beraman [+] Responsible Disclosure jarayoniga rioya qilaman [+] Mijoz ma'lumotlarini maxfiy saqlayman [+] NDA (Non-Disclosure Agreement — maxfiylik shartnomasi) ga rioya qilaman [+] Aniq va to'liq hisobotlar yozaman ``` ### 3. Texnik standartlar ```text title="3. Texnik standartlar" Majburiyatlar: [+] Minimal ta'sir printsipi — tizimni ishlaydigan holatda qoldiraman [+] DoS/DDoS dan qochaman (alohida ruxsatisiz) [+] Test ma'lumotlarini ish tugagach o'chiraman [+] Barcha harakatlarimni yozib boraman (log) [+] Forensics da asl dalillarni o'zgartirmayman ``` ### 4. Jamiyat mas'uliyati ```text title="4. Jamiyat mas'uliyati" [+] O'rganganlarimni boshqalarga o'rgataman [+] Kiberxavfsizlik madaniyatini tarqataman [+] Yosh mutaxassislarga yo'l ko'rsataman ``` !!! important "Nima uchun bu hujjat kerak?" Code of Conduct — bu shunchaki qog'oz emas. U qiyin lahzada (masalan, ruxsatsiz zaiflikni «tezgina» tekshirib ko'rish vasvasasi paydo bo'lganda) sizning chizig'ingizni belgilab beradi. Oldindan yozib qo'yilgan qoidaga amal qilish — har safar noldan o'ylab qaror qabul qilishdan oson va xavfsizroq. --- ## Case Study — holat tahlili Quyidagi uchta holatni o'qing. Har biri uchun to'g'ri qarorni tanlang va sababini aytib bering. !!! example "Holat A — do'stning Wi-Fi tarmog'i" Siz do'stingizning Wi-Fi tarmog'ida zaiflik topdingiz. Do'stingiz ruxsat bermagan. | Variant | Harakat | |---------|--------| | A | Zaiflikni ishlatib, do'stga ko'rsataman | | B | Hech narsa qilmayman | | C | Do'stga og'zaki aytaman va yozma ruxsat so'rayman | | D | Zaiflik haqida blog yozaman | ??? success "Holat A — to'g'ri javob" **C** — ruxsatsiz har qanday harakat jinoyat. Og'zaki rozilik ham toza yuridik himoya bermaydi — eng ishonchlisi yozma ruxsat. Avval og'zaki ogohlantirib, keyin yozma ruxsat olish — to'g'ri yo'l. !!! example "Holat B — Bug Bounty dasturida boshqa foydalanuvchi ma'lumoti" Bug Bounty dasturida zaiflik topildi. U orqali boshqa foydalanuvchilarning ma'lumotlariga kirish mumkin. Nima qilasiz? | Variant | Harakat | |---------|--------| | A | Barcha ma'lumotlarni yuklab olaman — dalil sifatida | | B | Bitta sinov ma'lumot bilan POC yarataman, keyin xabar beraman | | C | Zaiflikni darhol ommaga e'lon qilaman | | D | Ma'lumotlarni sotaman | ??? success "Holat B — to'g'ri javob" **B** — minimal ta'sir printsipi. Faqat zaiflikning isboti (POC — Proof of Concept, ya'ni «ishlashini isbotlovchi namuna») uchun zarur minimumdan foydalaning. Boshqalarning ma'lumotini to'liq yuklab olish — jinoyat. !!! example "Holat C — Scope dan tashqari zaiflik" Kompaniya pentesting shartnomasi berdi. Scope da ko'rsatilmagan tizimda zaiflik topdingiz. Nima qilasiz? | Variant | Harakat | |---------|--------| | A | Zaiflikni ishlataman — topib qo'ydim-ku | | B | Mijozga xabar beraman va Scope kengaytirishni so'rayman | | C | Hisobotga kiritaman, lekin exploit qilmayman | | D | E'tiborsiz qoldiraman | ??? success "Holat C — to'g'ri javob" **B yoki C** — Scope dan tashqari harakat qonuniy emas, hatto shartnoma bo'lsa ham. B — professional yo'l (xabar berish). C — ham qabul qilinadi (faqat hisobotga kiritish, exploit qilmaslik). ```mermaid flowchart TD Z["Zaiflik topildi"] --> Q1{"Ruxsat / Scope
ichidami?"} Q1 -->|"Yo'q"| R1["Exploit QILMA
xabar ber / ruxsat so'ra"] Q1 -->|"Ha"| Q2{"Boshqa ma'lumotga
tegadimi?"} Q2 -->|"Ha"| R2["Faqat minimal POC"] Q2 -->|"Yo'q"| R3["Hisobot yoz"] style R1 fill:#dc2626,color:#fff style R2 fill:#d97706,color:#fff style R3 fill:#059669,color:#fff ``` --- ## O'z Code of Conduct yozing Quyidagi shablonni to'ldiring. Bu — sizning professional hujjatingiz. ```markdown title="mening_ahdim.md" # [Ismingiz] — Etik Hacker Ahdi Sana: [Bugungi sana] Kurs: HackNow Ground Zero ## Mening majburiyatlarim: 1. ... 2. ... 3. ... ## Men qilmayman: 1. ... 2. ... 3. ... ## Professional maqsadlarim (1 yil): 1. [Qaysi yo'nalish: Blue/Red/GRC?] 2. [Qaysi sertifikat?] 3. [Qaysi resurs bilan o'qiyman?] Imzo: _______________ ``` --- ## 🚩 CTF topshirig'i 📖 **CTF** (Capture The Flag — Bayroqni Qo'lga Olish) — kiberxavfsizlik musobaqasi. Har bir topshiriq bajarilganda maxsus «flag» (bayroq) topiladi. ??? note "Tez tekshiruv: flag ni o'zingiz yig'ing" Etik hacking ning 3 ta asosiy printsipi — har birini inglizcha bitta so'z bilan ayting: - Yozma ruxsatnoma → ? - Mas'uliyatli oshkor qilish → ? - Minimal ta'sir → ? **Format:** `HN{birinchi_ikkinchi_uchinchi}` O'zingiz urinib ko'ring, keyin pastdagi javobni oching.

Flag ni ko'rish (faqat sinab ko'rganingizdan keyin oching)

`HN{authorization_disclosure_minimization}` Izohlash: - authorization = yozma ruxsatnoma printsipi - disclosure = mas'uliyatli oshkor qilish (responsible disclosure) - minimization = minimal ta'sir printsipi

--- ## ⚠️ Keng tarqalgan xatolar | Noto'g'ri tushuncha | Haqiqat | |---------------------|---------| | «Yaxshi niyat» — yuridik himoya | «Men bilmagan edim» ham, «yaxshi niyat» ham himoya emas | | Og'zaki ruxsat yetarli | Ishonchli yuridik himoya uchun yozma ruxsatnoma kerak | | Scope dan tashqari — zarar yo'q | Har qanday Scope tashqari harakat jinoyat | | POC uchun ma'lumotni to'liq yuklab olsa bo'ladi | Faqat zaiflikning isboti uchun zarur minimum | ## ✅ Tez tekshiruv — bilasizmi? **Savol:** Pentester va oddiy hacker o'rtasidagi asosiy yuridik farq nima — bitta so'z bilan?

Javobni ko'rish

Ruxsatnoma (authorization). Pentester yozma shartnomaga ega — bu uning harakatlarini qonuniy qiladi. Ruxsatnoma yo'q bo'lsa — xuddi shu harakatlar jinoyat.

## 🧪 O'zingiz sinab ko'ring **Amaliy topshiriq:** Yuqoridagi Code of Conduct shablonini to'liq to'ldiring. Kamida 3 ta majburiyat, 3 ta taqiq va 3 ta maqsad yozing. Bu hujjatni qayta ko'rib chiqish uchun saqlang — 6 oydan keyin qanchalik o'sganingizni ko'rasiz. ## ⚖️ Etika eslatmasi !!! danger "Etika va qonun" Bu dars — Ground Zero kursining yakuniy amaliy darsi. Siz endi kiberxavfsizlik asoslarini bilasiz. Bu bilimni faqat qonuniy, ruxsatnoma asosida va jamiyat manfaati uchun ishlating. Ruxsatsiz kirish — O'zR JK 278-modda bo'yicha jinoyat. «Men kurs o'tganman» — himoya emas. Yozma ruxsatnoma — himoya. ## ✅ Eng muhimi - Etik hacking ning uch printsipi: ruxsatnoma (authorization), oshkor qilish (disclosure), minimal ta'sir (minimization). - Yaxshi niyat — yuridik himoya emas. Har doim yozma ruxsatnoma oling. - Scope dan tashqari har qanday harakat — jinoyat, hatto Bug Bounty doirasida bo'lsangiz ham. - POC uchun faqat zaiflikning isboti uchun zarur minimumdan foydalaning. - Darsdan oldingi savol: «Yaxshi niyat» — yuridik himoya emas. ## ➡️ Keyingi qadam **Kurs yakunlandi:** Ground Zero — bu asoslar. Endi real-world tajriba vaqti. **Hayotda qo'llang (bugun):** 1. TryHackMe yoki HackTheBox da birinchi topshiriqni bajaring. 2. HackerOne da bitta ochiq Bug Bounty dasturini o'qib chiqing. 3. Yozgan Code of Conduct ni saqlang — 6 oydan keyin ko'rib chiqing. **1 soatdan keyin eslab ko'ring:** Etik hacking ning 3 asosiy printsipi. Inglizcha so'zlar bilan. Yozmasdan. *[CTF]: Capture The Flag *[POC]: Proof of Concept *[NDA]: Non-Disclosure Agreement

Kiberxavfsizlik Qonunlari

Kiberxavfsizlik Qonunlari — O'zbekiston va Xalqaro