# Yangi server = ochiq eshik: uni qanday yopamiz? > Zavoddan chiqqan avtomobilning kalit izi standart bo'ladi — hamma uchun bir xil. Server ham xuddi shunday: "default" (standart) sozlamalar bilan keladi, va ular xavfli. Bu darsda eshiklarni birma-bir yopishni o'rganamiz. ## 🔍 Darsdan oldin bir daqiqa > **O'ylab ko'ring:** Yangi kvartiraga ko'chib kelsangiz, birinchi nimani qilasiz — kalit qulfini almashtirasizmi yoki mebel joylashtirasizmi? > _(Javobingizni eslab qoling — dars oxirida bu savol boshqacha ma'no kasb etadi.)_ ## 🎯 Bu darsdan keyin siz - "Hardening" nima ekanini va nima uchun kerakligini tushunasiz - Yangi serverda birinchi nima tekshirilishini bilasiz - SSH, firewall va Fail2ban asosiy sozlamalarini qila olasiz - Lynis vositasi bilan avtomatik audit o'tkaza olasiz - Serverda shart bo'lmagan "eshik"larni topa olasiz --- ## Hardening nima va nima uchun kerak? 🌍 Tasavvur qiling: katta binoga ko'chib keldingiz. Binoda 20 ta eshik bor — ombor, yerto'la, qo'shimcha xona. Ko'pchilik eshiklar qulflanmagan, chunki avvalgi egasi ulardan foydalanmagan. Siz esa faqat 3 ta xonada yashaysiz. Qolgan 17 eshikni qulflash — mantiqan to'g'ri ish. 📖 **Hardening (mustahkamlash)** — bu tizimni o'rnatilgandan keyin keraksiz imkoniyatlarini o'chirish, zaif sozlamalarni almashtirish va hujum yuzasini (attack surface — hujumchi foydalana oladigan barcha kirish nuqtalari yig'indisi) kamaytirish jarayoni. *[SSH]: Secure Shell — serverga shifrlangan masofaviy kirish protokoli *[UFW]: Uncomplicated Firewall — Linux uchun sodda tarmoq devori *[SUID]: Set User ID — dasturni fayl egasi huquqida ishlatuvchi maxsus ruxsat belgisi 🛡️ Har yangi o'rnatilgan Linux server "default" (standart) sozlamalar bilan keladi. Ular qulay, lekin xavfli. Masalan: root (eng yuqori huquqli foydalanuvchi) SSH orqali to'g'ridan-to'g'ri kira oladi, ortiqcha portlar ochiq qoladi, keraksiz xizmatlar fonda ishlaydi. 🔎 Misol: Ubuntu server o'rnatildi. Hech narsa qilinmasa, `ss -tulnp` buyrug'i 5-10 ta ochiq port ko'rsatishi mumkin. Ularning yarmi sizga kerak emas. Har bir ochiq port — bu hujumchi uchun potensial kirish nuqtasi, ya'ni "qulflanmagan eshik". !!! tip "Asosiy g'oya: kamroq eshik = kamroq xavf" Hardeningning butun falsafasi bitta jumlaga sig'adi: **nima kerak bo'lmasa — o'chir**. Har bir ochiq port, har bir keraksiz xizmat, har bir ortiqcha foydalanuvchi — bu hujumchi sinab ko'rishi mumkin bo'lgan yana bitta yo'l. Yo'llarni kamaytirsangiz, hujumchining ishi qiyinlashadi. --- ## 6 ta asosiy soha Hardening 6 ta sohadan iborat. Quyidagi diagramma har sohaning vazifasini ko'rsatadi: ```mermaid mindmap root((Linux
Hardening)) SSH Masofaviy kirish eshigi root login taqiqi Kalit autentifikatsiyasi Firewall Tarmoq trafigini filtrlash Faqat kerakli portlar Fail2ban Brute-force himoyasi Avtomatik bloklash Foydalanuvchilar Keraksiz akkauntlar Sudo ruxsatlari SUID audit Huquq oshirish vektorlari Xavfli dasturlar Yangilanish Ma'lum zaifliklar Patch o'rnatish ``` | # | Soha | Nimadan himoya qiladi | |---|------|------------------------| | 1 | SSH | Masofaviy kirish eshigini parol tahmini va root kirishidan | | 2 | Firewall | Tarmoq trafigini filtrlab, keraksiz portlarga ulanishdan | | 3 | Fail2ban | Avtomatik parol sinash (brute-force) hujumidan | | 4 | Foydalanuvchi | Shart bo'lmagan akkauntlar orqali kirishdan | | 5 | SUID audit | Oddiy foydalanuvchining root huquqini olib qo'yishidan | | 6 | Yangilanish | Ma'lum (e'lon qilingan) zaifliklarni ishlatishdan | --- ## 1-qadam: Serverga birinchi kirganda nima tekshiriladi? 🌍 Yangi xonaga kirganda mezbon siz uchun ro'yxat qoldiradi: kim bor, nima bor, qanday holat. Server ham xuddi shunday — tekshiruv buyruqlari bilan "xona holati"ni ko'rasiz. 📖 **Audit (tekshiruv)** — tizimning hozirgi holatini aniqlash: kim kirgan, nima ishlayapti, qaysi portlar ochiq. 🛡️ Tekshiruvsiz hech qanday hardening boshlanmaydi. Nimani o'chirish kerakligini bilish uchun, avval nimalar borligini bilish lozim. Shifokor avval ko'rik qiladi, keyin dori beradi — bu ham xuddi shunday. ```mermaid flowchart TD A["Yangi serverga
birinchi kirish"] --> B["Audit: holatni o'rganish"] B --> C{"Nima ortiqcha?"} C -->|Ochiq portlar| D["Keraksizini yopish"] C -->|Keraksiz xizmatlar| E["O'chirish"] C -->|Ortiqcha akkauntlar| F["Bloklash / o'chirish"] D --> G["Mustahkamlangan server"] E --> G F --> G ``` 🔎 Quyidagi buyruqlarni bosqichma-bosqich bajaring: ```bash title="1-audit-tizim-holati.sh" # --- 1. TIZIM HOLATI --- uname -a # Kernel (yadro) versiyasi va arxitektura lsb_release -a # Linux distributiv va versiyasi uptime # Server qachondan buyon ishlayapti? who # Hozir kim tizimga kirgan? last | head -20 # Oxirgi 20 ta login (kirish) yozuvi ``` ```bash title="2-audit-portlar.sh" # --- 2. OCHIQ PORTLAR — nima tinglayapti? --- sudo ss -tulnp # ss = socket statistics (soket statistikasi) # -t = TCP, -u = UDP, -l = listening (tinglayotgan) # -n = raqam (nomi emas), -p = qaysi dastur band qilgan ``` ```bash title="3-audit-xizmatlar.sh" # --- 3. ISHLAYOTGAN XIZMATLAR --- systemctl list-units --type=service --state=running # Har xizmat = potensial zaiflik nuqtasi # Keraksizlari o'chiriladi ``` ```bash title="4-audit-foydalanuvchilar.sh" # --- 4. FOYDALANUVCHILAR --- # Kirish imkoni bo'lgan foydalanuvchilar: grep -v '/nologin\|/false' /etc/passwd # UID (foydalanuvchi identifikatori) 0 = root huquqlari # Faqat bitta bo'lishi kerak: awk -F: '$3 == 0 {print}' /etc/passwd # Sudo (administrator) guruhidagi foydalanuvchilar: grep -E '^(sudo|wheel|admin)' /etc/group ``` ```bash title="5-audit-ozgarishlar.sh" # --- 5. OXIRGI O'ZGARISHLAR --- # So'nggi 7 kun ichida o'zgargan fayllar: find / -mtime -7 -type f 2>/dev/null | grep -v /proc # Kutilmagan o'zgarish = shubhali faoliyat belgisi ``` !!! example "Amaliy misol: UID 0 ni o'qish" `awk -F: '$3 == 0' /etc/passwd` buyrug'i `/etc/passwd` faylini ikki nuqta (`:`) bo'yicha bo'laklarga ajratadi va uchinchi bo'lak (UID) 0 ga teng qatorlarni chiqaradi. Natija odatda bitta qator bo'lishi kerak: `root:x:0:0:...`. Agar ikkinchi qator chiqsa — kimdir yashirin root akkaunt yaratgan, bu jiddiy xavf signali. !!! tip "Qiyin tuyulyaptimi? Bu normal." Bu buyruqlarni birdaniga yodlashga urinmang. Ularning **nima qilishini** tushunish yetarli. Amaliyotda har safar qayta ko'rasiz va o'zidan o'zi eslab qolasiz. Hatto tajribali muhandislar ham ba'zi flaglarni qayta qaraydi. ??? note "Tez tekshiruv: nega aynan audit birinchi?" Chunki ko'r-ko'rona qoida yozish xavfli. Masalan, `port 8080` ni yopsangiz, lekin u serverning haqiqiy veb-ilovasi bo'lsa — saytingiz ishlamay qoladi. Avval audit qilib, har port nima ekanini bilib oling, keyin qaror chiqaring. --- ## 2-qadam: SSH ni mustahkamlash 🌍 SSH (Secure Shell — xavfsiz qobiq) — serverga internet orqali masofadan kirishning asosiy yo'li. Bu xuddi uyingizning asosiy eshigiga o'xshaydi. Default holatda bu eshikda bir necha muammo bor: har kim kalit (parol) bilan urinib ko'rishi mumkin, hatto administrator (root) ham to'g'ridan-to'g'ri kira oladi. 📖 **SSH konfiguratsiyasi** `/etc/ssh/sshd_config` faylida saqlanadi. Bu faylda bir qator parametrlarni o'zgartirish orqali eshikni mustahkamlaymiz. 🛡️ Hujumchilar avtomatlashtirilgan dasturlar orqali SSH portiga minglab parol urinishlari qiladi (brute-force). Agar root kirishi ochiq bo'lsa va parol zaif bo'lsa, bir marta to'g'ri tahmin — butun server ularning qo'liga o'tadi. ```mermaid sequenceDiagram participant H as Hujumchi participant S as SSH server participant L as auth.log H->>S: Login urinishi (parol 1) S->>L: "Failed password" yoziladi S-->>H: Rad etildi H->>S: Login urinishi (parol 2) S->>L: "Failed password" yoziladi S-->>H: Rad etildi Note over H,S: ...minglab urinish davom etadi H->>S: Login urinishi (to'g'ri parol!) S-->>H: Kirildi — server qo'lga o'tdi ``` 🔎 Quyidagi sozlamalarni ketma-ket tushunib chiqamiz: ```bash title="sshd_config-ochish.sh" # Faylni tahrirlash: sudo nano /etc/ssh/sshd_config ``` Tahrirlashni boshlashdan oldin [[Ctrl+S]] bilan saqlash va [[Ctrl+X]] bilan chiqish kerakligini eslab qoling (nano muharririda). ```bash title="/etc/ssh/sshd_config" {2,6,11} # --- TAVSIYA ETILADIGAN SOZLAMALAR --- # Root bevosita kira olmasin (ENG MUHIM!) PermitRootLogin no # Sabab: root barcha huquqlarga ega. Agar paroli taxmin # qilinsa — to'liq nazorat yo'qoladi. # Faqat SSH kalit bilan kirish (parolsiz) PasswordAuthentication no PubkeyAuthentication yes # Sabab: SSH kaliti parolga qaraganda millionlab marta # kuchliroq — uni tahmin qilish amalda imkonsiz. # Default portni o'zgartirish Port 2222 # Sabab: avtomatik skanerlar avval 22-portni tekshiradi. # 2222 — kamroq shovqin (asosiy himoya emas, qo'shimcha). # Faqat ma'lum foydalanuvchilarga ruxsat AllowUsers adminuser devuser # Ro'yxatda yo'q hamma taqiqlangan. # Muvaffaqiyatsiz urinishlar soni MaxAuthTries 3 # 3 ta xato = ulanish uziladi # Ulanishga ruxsat berilgan vaqt (soniyada) LoginGraceTime 30 # Faqat zamonaviy SSH protokoli (eskisi zaif) Protocol 2 # Grafik interfeys (X11) yo'naltirishini o'chiring — serverda kerakmas X11Forwarding no # Ulanishni jonli ushlab turish tekshiruvi ClientAliveInterval 300 ClientAliveCountMax 2 # 300 soniyada bir so'rov, 2 marta javob bo'lmasa — ulanish yopiladi ``` ```bash title="sshd-tekshirish.sh" # Sozlamalarni tekshirish (xizmatni qayta yuklamasdan, OLDIN): sudo sshd -t # Agar hech narsa chiqmasa — konfiguratsiya to'g'ri. # Xato bo'lsa — qaysi qator xato ekani ko'rsatiladi. # Sozlamalarni qo'llash (xizmatni qayta o'qitish): sudo systemctl reload sshd ``` !!! danger "Etika va xavfsizlik: o'zingizni qulflab qo'ymang" `PasswordAuthentication no` qilishdan **oldin** SSH kalitingizni serverga yuklang (`ssh-copy-id` bilan). Aks holda serverdan butunlay chiqib qolasiz va boshqa kira olmaysiz. Tartib qat'iy: **avval kalitni yuklang, keyin parol kirishni o'chiring**. Va eslang — bu sozlamalarni faqat o'z serveringizda yoki yozma ruxsat berilgan tizimda qiling. --- ## 3-qadam: Firewall — tarmoq qorovuli 🌍 Shahar darvozasini tasavvur qiling. Darvozabon kimni kiritish, kimni chiqarish, kimni to'xtatishni hal qiladi. Firewall (tarmoq devori) — serverning "darvozaboni". Qaysi tarmoq trafigi o'tishini u boshqaradi. 📖 **UFW (Uncomplicated Firewall — sodda tarmoq devori)** — Linux'da eng qulay firewall vositasi. U past darajadagi `iptables` (asosiy qoida tizimi) ni boshqaradi, lekin oddiy, tushunarli buyruqlar orqali. 🛡️ Firewall bo'lmasa, serverda ishlayotgan har bir xizmat internet orqali hujumga ochiq turadi. Faqat kerakli portlarni ochish — hujum yuzasini keskin kamaytiradi. ```mermaid flowchart LR N["Internet"] --> F{"UFW devori
default deny incoming"} F -->|"port 22 (SSH)"| A1["Ruxsat: SSH"] F -->|"port 80 (HTTP)"| A2["Ruxsat: Veb"] F -->|"port 443 (HTTPS)"| A3["Ruxsat: Xavfsiz veb"] F -->|"boshqa hamma port"| D["DROP: e'tiborsiz tashlash"] A1 --> S["Server"] A2 --> S A3 --> S ``` 🔎 UFW bilan ishlash: ```bash title="ufw-asos.sh" # UFW hozirgi holati: sudo ufw status verbose # Default qoidalar — eng xavfsiz boshlang'ich nuqta: sudo ufw default deny incoming # Barcha kirayotgan trafik — taqiq sudo ufw default allow outgoing # Barcha chiqayotgan trafik — ruxsat # Mantiq: tashqaridan hech kim kira olmasin, # lekin siz internetga erkin chiqishingiz mumkin. ``` ```bash title="ufw-qoidalar.sh" # --- RUXSAT BERISH --- sudo ufw allow ssh # 22/tcp SSH porti sudo ufw allow 2222/tcp # Agar SSH portini o'zgartirgan bo'lsangiz sudo ufw allow 80/tcp # HTTP (veb sayt) sudo ufw allow 443/tcp # HTTPS (xavfsiz veb sayt) # Faqat muayyan IP'dan ruxsat (masalan, ofis tarmog'i): sudo ufw allow from 192.168.1.0/24 # --- BLOKLASH --- sudo ufw deny 23/tcp # Telnet — juda zaif protokol, doim yoping sudo ufw deny from 10.10.99.0/24 # Shubhali IP diapazonini bloklash # --- FIREWALLNI YOQISH (qoidalar tayyor bo'lgach) --- sudo ufw enable # --- HOLATNI KO'RISH --- sudo ufw status numbered # Qoidalar raqamlari bilan # --- QOIDANI O'CHIRISH --- sudo ufw delete 3 # 3-raqamli qoidani o'chir sudo ufw delete allow 80/tcp # Yoki nomi bilan o'chir ``` !!! warning "Keng tarqalgan xato: SSHni ochishni unutish" `ufw enable` ni bosishdan **oldin** SSH portini ruxsat etganingizga ishonch hosil qiling (`sudo ufw allow ssh`). Aks holda masofaviy server bilan ulanishingiz darrov uzilib qoladi va qayta kira olmaysiz. Bu — masofaviy hardeningda eng ko'p uchraydigan xato. !!! info "Oddiy tilda: iptables va UFW farqi" UFW — bu "sodda darcha" (qulay tutqich). Uning ichida `iptables` ishlaydi — bu esa haqiqiy "mexanizm". Boshlang'ich uchun UFW yetarli. Professional darajada `iptables` (yoki yangiroq `nftables`) bevosita o'rganiladi — keyingi modullarda ko'ramiz. === "Linux (UFW)" ```bash title="ufw-misol.sh" sudo ufw default deny incoming sudo ufw allow ssh sudo ufw enable ``` === "Windows (PowerShell)" ```powershell title="firewall-misol.ps1" Set-NetFirewallProfile -DefaultInboundAction Block New-NetFirewallRule -DisplayName "SSH" -Direction Inbound -LocalPort 22 -Protocol TCP -Action Allow ``` --- ## 4-qadam: Fail2ban — brute-force ga qarshi qulf 🌍 Bank kassasini tasavvur qiling. 3 marta noto'g'ri PIN kiritilsa — karta bloklanadi. Fail2ban xuddi shu mantiqda ishlaydi: ko'p marta noto'g'ri parol kiritgan IP manzilni avtomatik bloklaydi. 📖 **Fail2ban** — log (yozuv) fayllarini kuzatuvchi xizmat. Muvaffaqiyatsiz urinishlar ko'p bo'lgan IP manzillarni topib, ularni avtomatik ravishda firewall qoidalari orqali bloklaydi. 🛡️ Brute-force (kuch bilan sinash) hujumida hujumchi minglab parollarni avtomatik sinab ko'radi. Fail2ban bunday IP'ni belgilangan sondagi urinishdan keyin bir muddatga bloklaydi — bu hujumni amalda imkonsiz darajada sekinlashtiradi. Mana Fail2banning ishlash mantig'i bosqichma-bosqich: ```mermaid flowchart TD A["Fail2ban auth.log ni kuzatadi"] --> B{"findtime (10 daq) ichida
maxretry (5) ta xato bo'ldimi?"} B -->|Yo'q| A B -->|Ha| C["IP manzilni aniqlash"] C --> D["Firewall qoidasi:
bu IP ni bloklash"] D --> E{"bantime (1 soat)
tugadimi?"} E -->|Yo'q| D E -->|Ha| F["Blok olib tashlanadi"] F --> A ``` 🔎 O'rnatish va sozlash: ```bash title="fail2ban-ornatish.sh" # O'rnatish: sudo apt install fail2ban -y # Konfiguratsiya nusxasini olish: # jail.conf -> o'zgartirilmaydi (yangilanishda ustiga yoziladi) # jail.local -> shaxsiy sozlamalar fayli (bizniki shu yerda) sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local # jail.local ni tahrirlash: sudo nano /etc/fail2ban/jail.local ``` ```ini title="/etc/fail2ban/jail.local" {3,4,5} # --- ASOSIY SOZLAMALAR --- [DEFAULT] bantime = 3600 # Bloklash muddati: 3600 soniya = 1 soat findtime = 600 # 600 soniya = 10 daqiqa oynasi ichida... maxretry = 5 # ...5 ta xato bo'lsa — bloklash [sshd] enabled = true port = ssh logpath = /var/log/auth.log # SSH login yozuvlari shu yerda ``` ```bash title="fail2ban-boshqarish.sh" # Xizmatni yoqish va ishga tushirish: sudo systemctl enable fail2ban sudo systemctl start fail2ban # Holatni tekshirish: sudo fail2ban-client status sudo fail2ban-client status sshd # Chiqadi: Currently banned: 2 (2 ta IP bloklangan) # Bloklangan IP larni ko'rish: sudo fail2ban-client get sshd banned # Xato bilan bloklangan IP ni bo'shatish: sudo fail2ban-client set sshd unbanip 10.10.99.77 ``` !!! tip "Fail2ban va SSH kaliti birga ishlaydi" Fail2ban hujumni sekinlashtiradi, lekin uni butunlay to'xtata olmaydi (hujumchi IP almashtirib davom etishi mumkin). Eng mustahkam himoya — SSH **kalit autentifikatsiyasi**. Parol umuman bo'lmasa, tahmin qiladigan narsa ham yo'q. Fail2ban — qo'shimcha qatlam, asosiy qulf emas. --- ## 5-qadam: Foydalanuvchi auditi 🌍 Ofisdan eski xodim ketdi, lekin uning kalit kartasi hali ham ishlaydi. Bu xavf. Server ham xuddi shunday: eski yoki shart bo'lmagan akkauntlar yopilmasa — ochiq kirish nuqtasi bo'lib qoladi. 📖 **Foydalanuvchi auditi** — tizimda kimlar borligini, ularning ruxsatlarini va oxirgi faoliyatini tekshirish jarayoni. 🛡️ Shart bo'lmagan akkaunt — hujumchi uchun "orqa eshik". Ayniqsa root huquqiga yaqin (sudo guruhidagi) akkauntlar juda xavfli. ```bash title="foydalanuvchi-audit.sh" # Kirish imkoni bo'lgan foydalanuvchilar: grep -v '/nologin\|/false\|/sync\|/halt\|/shutdown' /etc/passwd # Parolsiz akkauntlar — xavfli! sudo awk -F: '($2 == "" || $2 == "!") {print $1}' /etc/shadow # UID 0 = root huquqlari — faqat bitta bo'lishi kerak: awk -F: '$3 == 0 {print $1}' /etc/passwd # Sudo (administrator) guruhidagi foydalanuvchilar: grep -E '^(sudo|wheel|admin)' /etc/group # Foydalanuvchi qachon oxirgi kirgan? last username | head -5 # --- TUZATISH AMALLARI --- # Foydalanuvchini bloklash (parolini o'chirish): sudo passwd -l shubhali_foydalanuvchi # Foydalanuvchini o'chirish (barcha fayllari bilan): sudo userdel -r eski_xodim # Foydalanuvchini sudo guruhidan chiqarish: sudo gpasswd -d foydalanuvchi sudo ``` !!! warning "Eng kam imtiyoz tamoyili (least privilege)" Har bir foydalanuvchiga **faqat ishi uchun zarur** huquqni bering, ko'p emas. Agar dasturchi serverga deploy qilsa, unga to'liq root kerak emas — faqat kerakli buyruqlarga sudo bering. Ortiqcha huquq = ortiqcha xavf. --- ## 6-qadam: SUID audit — ruxsatni oshirib olish xavfi 🌍 Tasavvur qiling: ombor kaliti oddiy xodimga qoldirilgan. U omborga kirib, xohlagan narsani olishi mumkin. Linux'da ba'zi dasturlar shunday "maxsus kalit" bilan belgilangan — ularni ishga tushirgan har qanday foydalanuvchi vaqtinchalik administrator (root) huquqiga ega bo'ladi. 📖 **SUID (Set User ID)** — bu fayl ruxsati belgisi. SUID belgisi qo'yilgan dastur ishga tushganda, uni kim ishga tushirgan bo'lishidan qat'i nazar, **fayl egasining** (odatda root) huquqida ishlaydi. 🛡️ Agar hujumchi SUID belgisi qo'yilgan zaif dastur topsa, undan foydalanib root huquqini olishi mumkin. Bu **privilege escalation (huquq oshirish)** deyiladi — oddiy foydalanuvchi to'satdan administrator bo'lib qoladi. ```mermaid flowchart LR U["Oddiy foydalanuvchi
(huquqi past)"] --> P["SUID dasturini
ishga tushiradi"] P --> R{"Dastur kim
huquqida ishlaydi?"} R -->|"SUID bor: root"| ROOT["root huquqi
qo'lga kiritildi!"] R -->|"SUID yo'q: o'zi"| SELF["O'z huquqida qoladi"] ``` ```bash title="suid-audit.sh" # Barcha SUID fayllarni topish: find / -perm -u=s -type f 2>/dev/null # SGID (Set Group ID) fayllar: find / -perm -g=s -type f 2>/dev/null # Ikkalasini birga: find / -type f $ -perm -u=s -o -perm -g=s $ 2>/dev/null # Xavfli bo'lishi mumkin bo'lgan dasturlar (odatda SUID BO'LMASLIGI kerak): find / -perm -u=s -type f 2>/dev/null | \ grep -E '(bash|python|perl|ruby|vim|nano|less|more|find|awk|nmap|nc)' # Agar bu ro'yxatda dastur chiqsa — hujumchi root olishi mumkin. ``` !!! danger "Etika: SUID bilimi ikki tomonlama" SUID auditni bilish himoyachiga zaiflikni topib yopishga yordam beradi. Ammo aynan shu bilim hujumchida ham bor. Biz buni **himoya** uchun o'rganamiz. Boshqa birovning tizimida SUID dasturlarni izlash va ulardan foydalanish — ruxsatsiz bo'lsa, jinoyat (O'zR JK 278-modda). `GTFOBins.github.io` saytida qaysi dasturlar xavfli ekanini ko'rish mumkin — lekin faqat o'z laboratoriyangizni mustahkamlash uchun. --- ## 7-qadam: Lynis — avtomatik audit vositasi 🌍 Avtomobil texnik ko'rigiga borganingizda, mexanik yuzlab nuqtani tekshiradi va hisobot beradi: "tormoz yaxshi, moy kam, g'ildirakni almashtiring". Lynis server uchun aynan shunday avtomatik "texnik ko'rik". 📖 **Lynis** — Linux tizimini avtomatik tekshiruvchi ochiq manbali (open-source) xavfsizlik audit vositasi. 300 dan ortiq tekshiruv o'tkazadi va umumiy ball (hardening index) beradi. 🛡️ Lynis muammolarni **topadi**, lekin o'zi hal qilmaydi. U "mana bunga qarang" deydi, tuzatishni esa siz qilasiz. ```bash title="lynis-audit.sh" # O'rnatish: sudo apt install lynis -y # To'liq audit o'tkazish: sudo lynis audit system # Natija misoli (terminalda chiqadi): # Hardening index : 67 [########## ] # WARNING : SSH root login allowed [sshd] # SUGGESTION: Consider disabling ICMP redirects # SUGGESTION: Install libpam-pwquality for password checks # Faqat muhim ogohlantirish va tavsiyalar: sudo lynis audit system | grep -E 'WARNING|SUGGESTION' # Natijani faylga saqlash (keyin taqqoslash uchun): sudo lynis audit system > /var/log/lynis_report.txt ``` Lynis bergan ballni shunday tasavvur qilish mumkin: ```mermaid flowchart LR A["0-50
Yomon"] --> B["50-70
O'rta"] B --> C["70-85
Yaxshi"] C --> D["85-100
A'lo"] ``` Maqsadli ko'rsatkichni oddiy formula bilan ham ifodalash mumkin: $Index \geq 70$ — qabul qilinadigan minimal daraja. Yangi serverda odatda $Index \approx 55$ chiqadi. !!! tip "67 ball — bu yaxshimi?" Bu o'rta daraja. Yangi serverda odatda 50-65 chiqadi. Ushbu darsda o'rganilgan barcha sozlamalar qo'llanilsa, 75-85 ga ko'tarilishi mumkin. Lekin esda tuting: 100 ball ham mutlaq xavfsizlik degani emas — bu shunchaki tekshirilgan nuqtalar ro'yxati. --- ## 8-qadam: Paket yangilanishlari — ma'lum zaifliklarni yopish 🌍 Uy qurilishida topilgan nuqson uchun ishlab chiqaruvchi tuzatish (patch) yuboradi. Uni o'rnatmasangiz — nuqson saqlanib qoladi. Dasturiy ta'minotda ham xuddi shunday. 📖 **Yangilanish (update/upgrade)** — o'rnatilgan dasturlardagi topilgan zaifliklarni (vulnerability — xavfsizlik teshigi) tuzatish. **Unattended upgrades** — bu jarayonni avtomatlashtiruvchi vosita. 🛡️ Eski dastur = ma'lum (e'lon qilingan) zaiflik. Hujumchilar birinchi navbatda yangilanmagan tizimlarni qidiradi, chunki ularning teshigi allaqachon ommaga ma'lum. ```bash title="yangilanish.sh" # Paketlar ro'yxatini yangilash va mavjud yangilanmalarni o'rnatish: sudo apt update && sudo apt upgrade -y # Xavfsizlik yangilanmalarini avtomatlashtirish: sudo apt install unattended-upgrades -y sudo dpkg-reconfigure --priority=low unattended-upgrades ``` !!! example "Real misol: yangilanmagan tizim narxi" 2017-yilda butun dunyo bo'ylab tarqalgan WannaCry zararli dasturi aynan **yangilanmagan** Windows tizimlariga hujum qildi. Tuzatish (patch) hujumdan ikki oy oldin chiqarilgan edi — lekin ko'p tizimlar yangilanmagani uchun zarar ko'rdi. Xulosa: yangilanish — bu eng arzon va eng kuchli himoya choralaridan biri. --- ## ⚠️ Keng tarqalgan xatolar | Noto'g'ri tushuncha | Haqiqat | |---|---| | "SSH porti o'zgartirilsa yetarli" | Port o'zgartirish faqat shovqinni kamaytiradi. Asosiy himoya: kalit autentifikatsiyasi va root login taqiqi. | | "UFW yoqildi = xavfsiz" | UFW yoqilgan bo'lsa ham, qoidalar noto'g'ri yozilsa keraksiz portlar ochiq qolishi mumkin. `ufw status verbose` doim tekshiring. | | "Fail2ban brute-force'ni to'liq to'xtatadi" | Fail2ban sekinlashtiradi, lekin to'liq to'xtata olmaydi. Asosiy himoya — SSH kalit autentifikatsiyasi. | | "Lynis ball 100 = mutlaq xavfsizlik" | Hech qanday vosita mutlaq xavfsizlikni kafolatlamaydi. Lynis — yo'nalish ko'rsatuvchi, kafolat emas. | ## ✅ Tez tekshiruv — bilasizmi? **Savol:** Server hardening'da birinchi qadam nima: qoidalar yozish yoki hozirgi holatni tekshirish?

Javobni ko'rish

Birinchi qadam — **audit (hozirgi holatni tekshirish)**. Nima borligini bilmasdan turib nimani o'chirish kerakligini aniqlay olmaysiz. `ss -tulnp`, `who`, `last`, `awk -F: '$3 == 0'` kabi buyruqlar bilan boshlang.

## 🧪 O'zingiz sinab ko'ring (xavfsiz amaliyot) Bu mashqni o'z Linux tizimingizda (virtual mashina yoki WSL) bajaring. Hech narsani o'chirmaydi — faqat ko'rsatadi: ```bash title="ozim-sinab-koraman.sh" # 1. Ochiq portlarni ko'ring: sudo ss -tulnp # Savol: qancha port tinglayapti? Har biri nima uchun? # 2. UID 0 foydalanuvchilarni tekshiring: awk -F: '$3 == 0 {print $1}' /etc/passwd # Faqat "root" ko'rinishi kerak. Boshqa chiqsa — shubhali. # 3. Tizimdagi SUID fayllar: find /usr/bin -perm -u=s -type f 2>/dev/null # Ro'yxatni ko'ring — bular normal SUID fayllar # (passwd, sudo, ping va boshqalar). ``` Kutilgan natija: birinchi buyruqda 3-10 ta port ko'rinadi, ikkinchisida faqat `root`, uchinchisida bir necha o'nta fayl. ??? note "Agar ishlamasa" `ss` topilmasa: `sudo apt install iproute2`. `awk` har Linux'da bor. `find` ruxsat xatosi bersa, oxiridagi `2>/dev/null` xato xabarlarini yashiradi — bu normal, ro'yxat baribir chiqadi. ## ⚖️ Etika eslatmasi !!! danger "Faqat himoya uchun" Biz bu buyruqlarni **o'z tizimimizni** himoya qilish uchun o'rganamiz. Boshqa birovning serverida ruxsatsiz audit o'tkazish — jinoyat (O'zR Jinoyat Kodeksi 278-modda). Hardening bilimi — qalqon, qilich emas. ## ✅ Eng muhimi (xulosa) - Yangi server "default" sozlamalari bilan xavfli keladi — hardening buni tuzatadi. - Birinchi qadam doim audit: nima bor, kim kirgan, qaysi portlar ochiq. - SSH'da `PermitRootLogin no` va `PasswordAuthentication no` — eng muhim 2 ta o'zgarish. - UFW: `default deny incoming`, keyin faqat kerakli portlarni oching. - Fail2ban brute-force hujumini sekinlashtiradi; SSH kalit autentifikatsiyasi esa uni amalda imkonsiz qiladi. - Lynis yordamida vaqti-vaqti bilan avtomatik audit o'tkazing, maqsad — $Index \geq 70$. **Darsdan oldin** kvartiraga ko'chib kelishni aytdik — birinchi qulfni almashtirish kerakligini endi tushundingizmi? Server ham xuddi shunday: avval "qulflar", keyin "mebel". ## ➡️ Keyingi qadam **Keyingi dars:** Linux Hardening — amaliy laboratoriya — bu yerda o'rganilgan barcha sozlamalarni real laboratoriya muhitida o'z qo'lingiz bilan qo'llaysiz. **Hayotda qo'llang (transfer):** Bugun o'z Linux qurilmangizda (agar bo'lsa) `sudo ss -tulnp` va `last` buyruqlarini ishlatib ko'ring. Natija kutganingizdan farqlimi? **1 soatdan keyin eslab ko'ring:** SSH hardening'ning 3 ta muhim parametri qanday edi? Lynis nima qiladi? Yozmasdan eslang.

Linux hardening va audit

Linux Hardening va Audit — tizimni mustahkamlash