Hodisalarga javob berish

# Hodisaga javob rejasi

## Jamoa

| Rol | Kim | Aloqa | Zaxira |
|-----|-----|-------|--------|
| Hodisa boshqaruvchisi | Husanboy Q. | +998 90 xxx | Aziz T. |
| Texnik yetakchi | Aziz T. | +998 91 xxx | Jasur M. |
| Aloqa mas'uli | Malika Y. | +998 93 xxx | Husanboy Q. |
| Yuridik | Tashqi maslahatchi | +998 71 xxx | — |
| Rahbariyat | Direktor | +998 90 xxx | — |

## Aloqa kanallari

Asosiy: Slack #hodisa kanali
Zaxira: Telegram guruh (agar Slack ishlamasa)
Shoshilinch: Telefon

**Muhim:** buzilgan tizim orqali muloqot qilmang.

## Eskalatsiya

| Daraja | Ta'sir | Kim xabardor qilinadi | Muddat |
|--------|--------|----------------------|--------|
| P1 Kritik | Xizmat to'xtagan yoki ma'lumot o'g'irlangan | Hamma + rahbariyat | Darhol |
| P2 Yuqori | Qisman ta'sir, buzilish shubhasi | Xavfsizlik jamoasi | 1 soat |
| P3 O'rta | Cheklangan ta'sir | Navbatchi | 4 soat |
| P4 Past | Ta'sir yo'q | Vazifa yaratiladi | 1 ish kuni |

## Vositalar

- [ ] Hodisa boshqaruv tizimi
- [ ] Alohida aloqa kanali
- [ ] Dalil yig'ish vositalari
- [ ] Zaxira nusxalarga kirish
- [ ] Tashqi mutaxassislar kontaktlari

enum HodisaJiddiyligi: string
{
    case P1 = 'kritik';
    case P2 = 'yuqori';
    case P3 = 'ortacha';
    case P4 = 'past';

    public function javobVaqti(): string
    {
        return match ($this) {
            self::P1 => 'darhol',
            self::P2 => '1 soat',
            self::P3 => '4 soat',
            self::P4 => '1 ish kuni',
        };
    }

    public function xabardorQilinadi(): array
    {
        return match ($this) {
            self::P1 => ['navbatchi', 'xavfsizlik', 'rahbariyat', 'yuridik'],
            self::P2 => ['navbatchi', 'xavfsizlik'],
            self::P3 => ['navbatchi'],
            self::P4 => [],
        };
    }
}

# Hodisa turlari va dastlabki choralar

| Tur | Jiddiylik | Birinchi qadam |
|-----|-----------|----------------|
| Ransomware | P1 | Tarmoqdan uzish, tarqalishni to'xtatish |
| Ma'lumot o'g'irlash | P1 | Kirish yo'lini yopish, hajmni aniqlash |
| Veb sayt buzilishi | P1/P2 | Saytni o'chirish yoki xizmat sahifasi |
| Hisob egallash | P2 | Hisobni bloklash, sessiyalarni tugatish |
| DDoS | P2 | CDN, chegaralash, filtr |
| Zararli dastur (bitta kompyuter) | P3 | Izolyatsiya, skanerlash |
| Fishing (xabar berilgan) | P3 | Bloklash, boshqalarni ogohlantirish |
| Zaiflik topildi | P3/P4 | Baholash, yamoqlash rejasi |

# Tez cheklash choralari

# 1. Tizimni tarmoqdan uzish (o'chirmasdan)
sudo ip link set eth0 down

# 2. Yoki faqat tashqi trafikni bloklash
sudo iptables -I OUTPUT -j DROP
sudo iptables -I INPUT -j DROP
sudo iptables -I INPUT -s 10.0.1.0/24 -j ACCEPT   # javob jamoasi uchun

# 3. Shubhali jarayonni to'xtatish (avval ma'lumot yig'ing!)
sudo ls -la /proc/PID/
sudo cat /proc/PID/cmdline
sudo cat /proc/PID/environ
sudo kill -STOP PID    # to'xtatish (o'ldirmasdan)

# 4. Buzilgan hisoblarni bloklash
sudo usermod -L shubhali_foydalanuvchi
sudo pkill -u shubhali_foydalanuvchi

// Ilova darajasida shoshilinch cheklash
final class ShoshilinchChora
{
    public function hisobniBloklang(int $foydalanuvchiId, string $sabab): void
    {
        $this->foydalanuvchilar->bloklang($foydalanuvchiId, $sabab);
        $this->sessiyalar->hammasiniTugating($foydalanuvchiId);
        $this->tokenlar->hammasiniBekorQiling($foydalanuvchiId);
        $this->apiKalitlar->hammasiniBekorQiling($foydalanuvchiId);

        $this->audit->yozing('hisob_shoshilinch_bloklandi', [
            'foydalanuvchi_id' => $foydalanuvchiId,
            'sabab'            => $sabab,
        ]);
    }

    public function texnikIshRejimi(string $xabar): void
    {
        $this->sozlama->saqlang('texnik_ish', true);
        $this->sozlama->saqlang('texnik_ish_xabari', $xabar);
        $this->kesh->hammasiniTozalang();
    }

    public function barchaSessiyalarniTugating(): void
    {
        $this->sessiyalar->hammasiniTozalang();
        $this->jurnal->critical('Barcha sessiyalar majburiy tugatildi');
    }
}

#!/bin/bash
# dalil-yigish.sh - hodisa paytida ishga tushiriladi
set -uo pipefail

HODISA="${1:-hodisa}"
CHIQISH="/dalillar/${HODISA}_$(date +%Y%m%d_%H%M%S)"
mkdir -p "$CHIQISH"

echo "=== Dalil yig'ish boshlandi: $(date -Iseconds) ==="

# Vaqt va tizim ma'lumoti
date -Iseconds > "$CHIQISH/vaqt.txt"
uname -a > "$CHIQISH/tizim.txt"
uptime >> "$CHIQISH/tizim.txt"

# Ishlayotgan jarayonlar (o'zgaruvchan - birinchi yig'iladi)
ps auxwwf > "$CHIQISH/jarayonlar.txt"
ls -la /proc/*/exe 2>/dev/null > "$CHIQISH/jarayon_fayllari.txt"

# Tarmoq holati
ss -tunap > "$CHIQISH/tarmoq_ulanishlar.txt"
ss -tulpn > "$CHIQISH/tinglash_portlari.txt"
ip addr > "$CHIQISH/tarmoq_interfeyslar.txt"
ip route > "$CHIQISH/marshrutlar.txt"
arp -an > "$CHIQISH/arp.txt" 2>/dev/null

# Ochiq fayllar
lsof -n > "$CHIQISH/ochiq_fayllar.txt" 2>/dev/null

# Foydalanuvchilar va sessiyalar
who > "$CHIQISH/faol_sessiyalar.txt"
last -50 > "$CHIQISH/oxirgi_kirishlar.txt"
cp /etc/passwd /etc/group "$CHIQISH/"
sudo cp /etc/shadow "$CHIQISH/" 2>/dev/null

# Doimiylik mexanizmlari
crontab -l > "$CHIQISH/crontab_joriy.txt" 2>/dev/null
sudo cp -r /etc/cron.* /etc/crontab "$CHIQISH/" 2>/dev/null
systemctl list-units --type=service --all > "$CHIQISH/xizmatlar.txt"
sudo cp -r /etc/systemd/system "$CHIQISH/systemd" 2>/dev/null

# SSH kalitlar
for uy in /home/* /root; do
    if [ -f "$uy/.ssh/authorized_keys" ]; then
        echo "=== $uy ===" >> "$CHIQISH/ssh_kalitlar.txt"
        cat "$uy/.ssh/authorized_keys" >> "$CHIQISH/ssh_kalitlar.txt"
    fi
done

# Jurnallar
sudo cp -r /var/log "$CHIQISH/log" 2>/dev/null
journalctl --since "7 days ago" > "$CHIQISH/journald.txt" 2>/dev/null

# Yaqinda o'zgargan fayllar
find / -xdev -mtime -7 -type f -ls 2>/dev/null > "$CHIQISH/ozgargan_fayllar.txt"

# Xesh hisoblash - yaxlitlik uchun
find "$CHIQISH" -type f -exec sha256sum {} \; > "$CHIQISH.sha256"

# Arxivlash
tar -czf "$CHIQISH.tar.gz" -C "$(dirname "$CHIQISH")" "$(basename "$CHIQISH")"
sha256sum "$CHIQISH.tar.gz" > "$CHIQISH.tar.gz.sha256"

echo "=== Tayyor: $CHIQISH.tar.gz ==="

# Xotira nusxasi
sudo apt install -y lime-forensics-dkms
sudo insmod /lib/modules/$(uname -r)/updates/dkms/lime.ko \
    "path=/dalillar/xotira.lime format=lime"

# Disk tasviri (faqat o'qish rejimida)
sudo dd if=/dev/sda of=/dalillar/disk.img bs=4M conv=noerror,sync status=progress
sha256sum /dalillar/disk.img > /dalillar/disk.img.sha256

# Dalillar jurnali

| Vaqt | Dalil | Yig'gan | Xesh | Saqlash joyi |
|------|-------|---------|------|--------------|
| 2026-09-15 14:35 | Xotira nusxasi | @aziz | a3f5b2c8... | Seyf, disk #1 |
| 2026-09-15 14:52 | Disk tasviri | @aziz | 8f3a1d0e... | Seyf, disk #2 |
| 2026-09-15 15:10 | Jurnal arxivi | @husanboy | 4b7c2a5f... | Xavfsiz server |

# Kirish jurnali

| Vaqt | Kim | Nima uchun | Qaytarildi |
|------|-----|-----------|-----------|
| 2026-09-16 10:00 | @husanboy | Tahlil | 2026-09-16 18:00 |

# Hodisa tahlili

## Asosiy savollar

1. **Qanday kirdi?** (dastlabki kirish vektori)
2. **Qachon?** (birinchi buzilish vaqti)
3. **Nima qildi?** (bajarilgan amallar)
4. **Qayergacha yetdi?** (tarqalish doirasi)
5. **Nima olindi?** (ma'lumot chiqishi)
6. **Hali ichkarimi?** (doimiylik mexanizmlari)

## Vaqt jadvalini tuzish

| Vaqt | Hodisa | Manba |
|------|--------|-------|
| 09-10 03:22 | Muvaffaqiyatli SSH kirish (203.0.113.99) | auth.log |
| 09-10 03:24 | Yangi foydalanuvchi "backup" yaratildi | auth.log |
| 09-10 03:31 | `/tmp/.x/` papkasi yaratildi | fayl tizimi |
| 09-10 04:15 | Ichki tarmoq skanerlandi | firewall |
| 09-12 22:40 | Katta hajmdagi chiquvchi trafik | tarmoq |
| 09-15 14:22 | Ogohlantirish ishladi | monitoring |

# Vaqt jadvalini tuzish uchun
# Barcha jurnallarni vaqt bo'yicha birlashtirish
cat /dalillar/log/auth.log /dalillar/log/syslog | \
    sort -k1,3 > /dalillar/birlashgan_vaqt_jadvali.txt

# Fayl tizimi vaqt jadvali
sudo find / -xdev -newermt "2026-09-10" ! -newermt "2026-09-16" \
    -printf "%T@ %TY-%Tm-%Td %TH:%TM:%TS %p\n" 2>/dev/null | sort -n

# Tiklash rejasi

## 1. Zaiflikni yopish
- [ ] Dastlabki kirish vektorini aniqlash
- [ ] Zaiflikni tuzatish
- [ ] Boshqa tizimlarda ham tekshirish

## 2. Doimiylikni yo'q qilish
- [ ] Barcha backdoor larni topish
- [ ] Yangi hisoblarni o'chirish
- [ ] SSH kalitlarni tekshirish
- [ ] Cron va systemd vazifalarini tekshirish

## 3. Tizimni qayta qurish
- [ ] Zararlangan tizimni **qayta o'rnatish** (tozalash emas)
- [ ] Toza zaxiradan tiklash
- [ ] Barcha yangilanishlarni o'rnatish

## 4. Ma'lumotlarni almashtirish
- [ ] Barcha parollar
- [ ] API kalitlar va tokenlar
- [ ] SSH kalitlar
- [ ] Shifrlash kalitlari
- [ ] Sertifikatlar

## 5. Bosqichma-bosqich ishga tushirish
- [ ] Kuchaytirilgan monitoring
- [ ] Bitta xizmatdan boshlash
- [ ] Har bosqichda tekshirish
- [ ] To'liq ishga tushirish

## 6. Kuzatuv (30 kun)
- [ ] Qaytish belgilarini kuzatish
- [ ] Ogohlantirish chegaralarini pasaytirish
- [ ] Kunlik tekshiruv

# Aloqa rejasi

## Ichki

| Kim | Nima | Qachon |
|-----|------|--------|
| Javob jamoasi | To'liq tafsilot | Doimiy |
| Rahbariyat | Holat, ta'sir, reja | Har 2 soatda |
| Xodimlar | Nima qilish kerak | Zarurat bo'lganda |
| Boshqa bo'limlar | Ta'sir doirasi | Zarurat bo'lganda |

## Tashqi

| Kim | Nima | Qachon |
|-----|------|--------|
| Mijozlar | Ta'sir, choralar, tavsiyalar | Tasdiqlangandan keyin |
| Nazorat organi | Rasmiy xabar | Qonun muddatida |
| Hamkorlar | Ta'sir doirasi | Zarurat bo'lganda |
| OAV | Rasmiy bayonot | Faqat matbuot xizmati orqali |
| Huquq organlari | Ariza | Zarurat bo'lganda |

## Qoidalar

1. Faqat **tasdiqlangan** ma'lumotni ayting
2. **Taxmin qilmang** - "tekshirmoqdamiz" deng
3. Bitta **rasmiy ovoz** (aloqa mas'uli)
4. Xodimlar OAV bilan **gaplashmasin**
5. Yozma xabarlar **yuridik** tomonidan ko'rilsin

# Hodisa hisoboti: Veb server buzilishi

**Hodisa raqami:** INC-2026-014
**Sana:** 2026-09-10 - 2026-09-16
**Jiddiylik:** P1
**Hodisa boshqaruvchisi:** @husanboy

## Qisqacha xulosa

Eskirgan kutubxona zaifligi orqali hujumchi veb serverga kirdi.
Serverda 5 kun davomida yashirin turdi, ichki tarmoqni skanerlab,
ma'lumotlar bazasidan nusxa oldi.

**Ta'sir:** 12 400 mijoz ma'lumoti (ism, email, telefon).
Parol xeshlari va to'lov ma'lumotlari ta'sirlanmagan.

## Vaqt jadvali

| Vaqt | Hodisa |
|------|--------|
| 09-10 03:22 | Zaiflik orqali kirish |
| 09-10 03:31 | Veb qobiq o'rnatildi |
| 09-11 10:15 | Ichki tarmoq skanerlandi |
| 09-12 22:40 | Baza nusxasi chiqarildi |
| 09-15 14:22 | Anomal trafik aniqlandi |
| 09-15 14:35 | Server izolyatsiya qilindi |
| 09-15 18:00 | Ta'sir doirasi aniqlandi |
| 09-16 10:00 | Mijozlarga xabar yuborildi |
| 09-16 16:00 | Tizim tiklandi |

## Ildiz sabab

`imagemagick` kutubxonasining eskirgan versiyasi (CVE-2026-5678).
Yamoq 2026-07-15 da chiqarilgan, lekin o'rnatilmagan.

**Nima uchun o'rnatilmagan:** avtomatik yangilanish faqat OS
paketlari uchun sozlangan, ilova bog'liqliklari qo'lda yangilanardi
va bu vazifa unutilgan.

## Nima yaxshi ketdi

+ Anomal trafik monitoringi ishladi
+ Izolyatsiya 13 daqiqada bajarildi
+ Dalillar to'liq yig'ildi
+ Zaxira nusxa toza edi (09-08)
+ Mijozlarga xabar 20 soat ichida yuborildi

## Nima yomon ketdi

- Buzilish 5 kun davomida aniqlanmadi
- Veb qobiq o'rnatilishi sezilmadi
- Ichki tarmoq skanerlash ogohlantirish bermadi
- Bog'liqliklar auditi jarayoni yo'q edi
- Aloqa rejasi tayyor emas edi - shablon shu yerda yozildi

## Harakatlar

| # | Harakat | Mas'ul | Muddat | Holat |
|---|---------|--------|--------|-------|
| 1 | Bog'liqliklar auditini CI ga qo'shish | @jasur | 09-20 | Bajarildi |
| 2 | Dependabot yoqish | @jasur | 09-20 | Bajarildi |
| 3 | Fayl yaxlitligi monitoringi (AIDE) | @aziz | 09-30 | Jarayonda |
| 4 | Ichki skanerlash uchun aniqlash qoidasi | @aziz | 10-05 | Rejada |
| 5 | Aloqa shablonlarini tayyorlash | @malika | 09-25 | Bajarildi |
| 6 | Yuklamalar papkasida PHP bloklash | @jasur | 09-18 | Bajarildi |
| 7 | Hodisaga javob mashqi o'tkazish | @husanboy | 10-15 | Rejada |

## Metrikalar

| Ko'rsatkich | Qiymat |
|-------------|--------|
| Aniqlash vaqti (MTTD) | 5 kun 11 soat |
| Cheklash vaqti | 13 daqiqa |
| To'liq tiklash | 1 kun 2 soat |
| Ta'sirlangan mijozlar | 12 400 |
| Xizmat to'xtash vaqti | 3 soat 20 daqiqa |

# Stol usti mashqi (Tabletop Exercise)

## Ssenariy

Dushanba, 09:15. Qo'llab-quvvatlash bo'limiga bir necha mijozdan
qo'ng'iroq keldi: ular saytga kira olmayapti va "fayllaringiz
shifrlangan" degan xabar ko'ryapti.

Bir vaqtda tizim administratori fayl serverida barcha fayllar
`.locked` kengaytmasiga ega bo'lganini ko'rdi.

## Savollar

1. Birinchi 5 daqiqada nima qilasiz?
2. Kimga qo'ng'iroq qilasiz?
3. Serverlarni o'chirasizmi?
4. Zaxira nusxalar qayerda va ular xavfsizmi?
5. Qanday aniqlaysiz - qancha tizim ta'sirlangan?
6. Mijozlarga qachon va nima deysiz?
7. To'lov qilasizmi? Kim qaror qiladi?
8. Qonuniy majburiyatlar qanday?
9. Xizmatni qancha vaqtda tiklaysiz?
10. Qanday bilasiz - hujumchi hali tizimdami?

## Format

- Davomiyligi: 2 soat
- Ishtirokchilar: IT, xavfsizlik, rahbariyat, aloqa, yuridik
- Moderator ssenariyni bosqichma-bosqich ochadi
- Har bir qaror muhokama qilinadi
- Natija: rejadagi bo'shliqlar ro'yxati