Bugungi kunda ko‘plab tashkilotlarning axborot tizimlarida Windows operatsion tizimida ishlovchi kompyuterlar, ishchi stansiyalar va serverlardan foydalaniladi. Tizim odatdagidek ishlayotgandek ko‘rinsada, uning ichida zararli dastur, noma’lum jarayon yoki ruxsatsiz ulanish yashirin ravishda faoliyat yuritayotgan bo‘lishi mumkin.

Bunday shubhali holatlarni o‘z vaqtida aniqlash va tekshirishda Incident Response — kiberxavfsizlik hodisalariga chora ko‘rish jarayoni muhim ahamiyatga ega. Ushbu jarayon orqali xavfsizlik mutaxassislari shubhali faoliyatni aniqlashi, hodisaning ko‘lami va ta’sirini baholashi, zarur raqamli dalillarni to‘plashi hamda tegishli choralarni ko‘rishi mumkin.

Muhim: Quyidagi buyruqlar tizimni tekshirish va kiberxavfsizlik hodisasini tahlil qilish uchun mo‘ljallangan. Ularni ishlayotgan tizimda qo‘llashdan oldin ayrim amallar hodisa izlariga yoki tizim holatiga ta’sir qilishi mumkinligini hisobga olish hamda tashkilotning Incident Response tartib-qoidalariga rioya qilish zarur.

Incident Response nima?

Incident Response — kompyuter, tarmoq yoki axborot tizimida kiberxavfsizlik hodisasi yuz berganda uni aniqlash, tahlil qilish, cheklash, bartaraf etish va keyingi oqibatlarini kamaytirishga qaratilgan tizimli jarayondir.

Kiberxavfsizlik hodisasiga quyidagilar misol bo‘lishi mumkin:

• foydalanuvchi yoki administrator huquqlaridan ruxsatsiz foydalanish;
• maxfiy yoki xizmatga oid ma’lumotlarga noqonuniy murojaat qilish;
• zararli dastur yoki shubhali dasturiy ta’minot aniqlanishi;
• noma’lum IP-manzillar bilan shubhali tarmoq aloqalari;
• tizimda kutilmagan yangi foydalanuvchi yoki administrator hisobining paydo bo‘lishi;
• noma’lum xizmat yoki avtomatik ishga tushuvchi dastur aniqlanishi;
• fayllarning kutilmaganda o‘zgartirilishi yoki yaratilishi;
• tizimning noodatiy sekinlashishi, ishdan chiqishi yoki tarmoq faolligining keskin oshishi.

Hodisani tekshirishda asosiy maqsad shunchaki “zararli faylni topish” emas. Muhimi — tizimda nima sodir bo‘lganini, qachon boshlanganini, qaysi hisob yoki jarayon ishtirok etganini va hodisa boshqa tizimlarga tarqalgan-tarqalmaganini aniqlash.

1. Foydalanuvchi hisoblarini tekshirish

Kiberhujumdan keyingi dastlabki tekshiruvlarda foydalanuvchi hisoblari alohida ahamiyatga ega. Hujumchi tizimga kirish imkoniyatini qo‘lga kiritganidan so‘ng yangi hisob yaratishi yoki mavjud hisobning huquqlarini oshirishi mumkin.

Shu sababli quyidagilarni aniqlash muhim:

• tizimda qanday foydalanuvchilar mavjud;
• qaysi hisoblar faol yoki o‘chirilgan;
• qaysi hisoblar administrator huquqiga ega;
• yaqinda yaratilgan yoki o‘zgartirilgan hisoblar mavjudligi;
• foydalanuvchining tizimdagi huquqlari.

Mahalliy foydalanuvchilarni ko‘rish

PowerShell’da:

Get-LocalUser

Ushbu buyruq mahalliy foydalanuvchi hisoblari, ularning holati va ayrim asosiy ma’lumotlarini ko‘rsatadi.

Administratorlar guruhidagi foydalanuvchilarni tekshirish uchun:

net localgroup administrators

Agar ushbu ro‘yxatda tashkilot siyosatiga ko‘ra bo‘lishi kerak bo‘lmagan foydalanuvchi aniqlansa, uning paydo bo‘lish sababi alohida tekshirilishi lozim.

Grafik interfeys orqali mahalliy foydalanuvchilarni ko‘rish uchun:

lusrmgr.msc

Eslatma: lusrmgr.msc ayrim Windows Home nashrlarida mavjud bo‘lmasligi mumkin.

2. Ishlayotgan jarayonlarni tekshirish

Process (jarayon) — Windows tizimida ayni vaqtda ishlayotgan dastur yoki xizmatning bajarilayotgan nusxasidir.

Zararli dasturlar ko‘pincha odatiy tizim jarayonlariga o‘xshash nomlardan foydalanadi. Shu sababli hodisani tekshirish vaqtida noma’lum yoki shubhali jarayonlarni aniqlash muhim.

Birinchi navbatda quyidagilarga e’tibor beriladi:

• jarayon nomi;
• Process ID (PID);
• foydalanayotgan xotira hajmi;
• jarayonni ishga tushirgan ota-jarayon;
• bajarilayotgan faylning joylashuvi;
• jarayonning tarmoqdagi faolligi.

Task Manager

Grafik interfeys orqali jarayonlarni ko‘rish:

taskmgr.exe

CMD orqali

tasklist

Ushbu buyruq ishlayotgan jarayonlarning PID va boshqa asosiy ma’lumotlarini ko‘rsatadi.

PowerShell orqali

Get-Process

Jarayonlarni xizmatlari bilan birga ko‘rish:

tasklist /svc

Ota-jarayonni aniqlash

PowerShell orqali:

Get-CimInstance Win32_Process |
Select-Object Name, ProcessId, ParentProcessId, CommandLine

Bu buyruq jarayon nomi, PID, ota-jarayon PID’i va ishga tushirilgan buyruq satri haqida qo‘shimcha ma’lumot beradi.

Masalan, odatiy Windows jarayoni kutilmagan katalogdan ishga tushgan bo‘lsa yoki noma’lum jarayon boshqa shubhali jarayon tomonidan ishga tushirilgan bo‘lsa, ushbu holat qo‘shimcha tekshiruvni talab qiladi.

3. Windows xizmatlarini tekshirish

Windows xizmatlari tizim ishga tushishi bilan yoki muayyan shartlar asosida avtomatik ravishda ishlashi mumkin. Shu sababli zararli dasturlar tizimda doimiy faol qolish uchun xizmatlardan foydalanishga urinishi mumkin.

Xizmatlarni grafik interfeysda ko‘rish:

services.msc

Ishlayotgan xizmatlarni CMD orqali ko‘rish:

net start

Xizmatlarning holatini batafsil ko‘rish:

sc query

Jarayonlar va ularga bog‘langan xizmatlarni ko‘rish:

tasklist /svc

Tekshiruv vaqtida quyidagilarga e’tibor qaratish kerak:

• noma’lum xizmat nomlari;
• yaqinda paydo bo‘lgan xizmatlar;
• noodatiy katalogdan ishga tushayotgan xizmatlar;
• administrator huquqlari bilan ishlayotgan shubhali xizmatlar;
• tashkilot siyosatiga mos kelmaydigan avtomatik ishga tushirish sozlamalari.

4. Task Scheduler — rejalashtirilgan vazifalar

Windows Task Scheduler dasturlar va skriptlarni ma’lum vaqtda yoki muayyan hodisa yuz berganda avtomatik ishga tushirish imkonini beradi.

Mazkur mexanizm qonuniy maqsadlarda juda ko‘p ishlatiladi. Shu bilan birga, zararli dasturlar tizimda o‘z faoliyatini saqlab qolish uchun undan foydalanishi mumkin.

Rejalashtirilgan vazifalarni CMD orqali ko‘rish:

schtasks

Batafsil ma’lumot olish uchun:

schtasks /query /fo LIST /v

Tekshiruv davomida ayniqsa quyidagilarga e’tibor berish lozim:

• noma’lum vazifalar;
• g‘ayrioddiy nomga ega vazifalar;
• PowerShell, cmd, wscript, cscript yoki noma’lum bajariluvchi fayllarni ishga tushiruvchi vazifalar;
• yuqori huquqlar bilan bajariladigan vazifalar;
• yaqinda yaratilgan yoki o‘zgartirilgan vazifalar.

5. Avtomatik ishga tushuvchi dasturlar

Windows tizimida foydalanuvchi tizimga kirganida avtomatik ravishda ishga tushadigan dasturlar mavjud.

Ularni tekshirish uchun Task Manager → Startup apps bo‘limidan foydalanish mumkin.

PowerShell orqali avtomatik ishga tushuvchi dasturlar haqida ma’lumot olish:

Get-CimInstance Win32_StartupCommand |
Select-Object Name, Command, Location, User |
Format-List

Tekshiruvda noma’lum dasturlar, shubhali fayl yo‘llari va kutilmagan foydalanuvchi hisoblari bilan bog‘langan avtomatik ishga tushirish yozuvlariga e’tibor berish kerak.

6. Windows Registry yozuvlarini tekshirish

Windows Registry operatsion tizim va o‘rnatilgan dasturlarning turli konfiguratsiya ma’lumotlarini saqlaydi.

Ayrim zararli dasturlar tizim qayta ishga tushirilgandan keyin ham avtomatik ravishda ishga tushish uchun Registry’dagi tegishli yozuvlardan foydalanishi mumkin.

Masalan, umumiy Run kalitlarini tekshirish:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

Joriy foydalanuvchi uchun:

reg query "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"

Shuningdek, Registry’dagi noma’lum yoki kutilmagan avtomatik ishga tushirish yozuvlarini tekshirish mumkin.

Muhim: Registry’ni tekshirish va ayniqsa o‘zgartirishda ehtiyotkorlik talab etiladi. Noto‘g‘ri o‘zgartirish Windows yoki ayrim dasturlarning ishlashiga salbiy ta’sir ko‘rsatishi mumkin.

7. Faol TCP va UDP ulanishlarini tekshirish

Tarmoq ulanishlari hodisani tekshirishda eng muhim manbalardan biridir.

Agar kompyuterda zararli dastur ishlayotgan bo‘lsa, u tashqi server bilan aloqa o‘rnatishi, ma’lumot yuborishi yoki buyruqlarni qabul qilishi mumkin.

Faol tarmoq ulanishlarini ko‘rish:

netstat -ano

Bu yerda:

• Local Address — mahalliy IP-manzil va port;
• Foreign Address — masofaviy IP-manzil va port;
• State — ulanish holati;
• PID — ulanishdan foydalanayotgan jarayon identifikatori.

Masalan, shubhali tashqi IP-manzil aniqlansa, uning qaysi jarayonga tegishli ekanini PID orqali tekshirish mumkin.

PowerShell’da TCP ulanishlarini ko‘rish:

Get-NetTCPConnection |
Sort-Object LocalPort

Muayyan IP-manzil bo‘yicha tekshirish uchun:

Get-NetTCPConnection -LocalAddress "192.168.0.110" |
Sort-Object LocalPort

Eslatma: IP-manzil misol sifatida keltirilgan. Amaliy tekshiruvda tashkilotning haqiqiy manzil diapazoni qo‘llanadi.

8. Tarmoqdagi umumiy resurslar va SMB ulanishlarini tekshirish

Windows muhitida fayl va boshqa resurslarni tarmoq orqali ulashish keng tarqalgan. Biroq keraksiz yoki ruxsatsiz umumiy resurslar xavfsizlik uchun qo‘shimcha xavf tug‘dirishi mumkin.

Mahalliy SMB ulashishlarini PowerShell orqali ko‘rish:

Get-SmbShare

Tarmoqdagi ulanishlar va umumiy resurslarni tekshirishda:

net view \\localhost

Shuningdek, tizimda mavjud tarmoq ulanishlarini ko‘rish:

net use

Tekshiruv vaqtida noma’lum umumiy papkalar, kutilmagan tarmoq ulanishlari yoki foydalanuvchi uchun zarur bo‘lmagan resurslarga berilgan keng huquqlar aniqlanishi mumkin.

9. Fayllarni tekshirish

Hodisani o‘rganishda yaqinda yaratilgan yoki o‘zgartirilgan fayllar muhim dalil bo‘lishi mumkin.

Ayniqsa quyidagilarga e’tibor berish lozim:

• noma’lum .exe, .dll, .ps1, .bat, .vbs fayllari;
• tizim kataloglarida kutilmagan fayllar;
• yaqinda o‘zgartirilgan fayllar;
• noodatiy nomga ega fayllar;
• vaqtinchalik kataloglardan ishga tushirilayotgan bajariluvchi fayllar.

Masalan, so‘nggi 10 kun ichida o‘zgartirilgan .exe fayllarni qidirish:

forfiles /D -10 /S /M *.exe /C "cmd /c echo @path"

Fayl nomi va o‘zgartirilgan sanasi haqida ma’lumot olish:

forfiles /D -10 /S /M *.exe /C "cmd /c echo @ext @fname @fdate"

Muayyan diskda yaqinda o‘zgartirilgan fayllarni ko‘rish:

forfiles /P C:\ /S /D -10

Muhim: Faqat faylning yangi yoki noma’lum ekanligi uning zararli ekanini anglatmaydi. Har bir topilma faylning joylashuvi, raqamli imzosi, hash qiymati, yaratilish va o‘zgartirilish vaqti hamda boshqa dalillar bilan birgalikda baholanishi kerak.

10. Windows Firewall sozlamalarini tekshirish

Firewall tizimga kiruvchi va undan chiquvchi tarmoq ulanishlarini nazorat qilishda muhim himoya vositasidir.

Hozirgi Windows tizimlarida Firewall sozlamalarini tekshirish uchun quyidagi buyruqlardan foydalanish mumkin:

netsh advfirewall show allprofiles

Joriy profilni ko‘rish:

netsh advfirewall show currentprofile

Qoidalarni ko‘rish:

netsh advfirewall firewall show rule name=all

Tekshiruv vaqtida quyidagilarga e’tibor qaratish kerak:

• yaqinda yaratilgan qoidalar;
• noma’lum dasturlarga berilgan ruxsatlar;
• kutilmagan inbound qoidalar;
• tashqi tarmoqqa chiqishga ruxsat beruvchi noodatiy qoidalar;
• tashkilot xavfsizlik siyosatiga zid sozlamalar.

Eski Windows muhitlarida uchrashi mumkin bo‘lgan:

netsh firewall show config

buyrug‘i o‘rniga zamonaviy tizimlarda netsh advfirewall buyruqlaridan foydalanish maqsadga muvofiq.

11. Boshqa tizimlar bilan o‘rnatilgan sessiyalar

Tizimning boshqa kompyuter yoki serverlar bilan qanday tarmoq sessiyalarini o‘rnatgani ham hodisani tekshirishda muhim ma’lumot beradi.

Quyidagi buyruqdan foydalanish mumkin:

net use

Bu orqali mavjud tarmoq ulanishlari, jumladan xaritalangan tarmoq resurslari haqida ma’lumot olish mumkin.

Agar foydalanuvchi yoki kompyuter tomonidan kutilmagan serverga ulanish aniqlansa, ushbu aloqa qaysi jarayon yoki faoliyat natijasida yuzaga kelganini qo‘shimcha tekshirish kerak.

12. Ochiq sessiyalarni tekshirish

Tizimga boshqa kompyuterlardan o‘rnatilgan sessiyalarni tekshirish uchun:

net session

Ushbu buyruq ayniqsa serverlarda foydali bo‘lishi mumkin.

Agar noma’lum kompyuter yoki foydalanuvchi tomonidan o‘rnatilgan sessiya aniqlansa, uning qonuniyligi, qachon tashkil etilgani va qanday faoliyat bilan bog‘liqligi tekshiriladi.

13. Windows Event Log jurnallarini tekshirish

Incident Response jarayonidagi eng muhim manbalardan biri — Windows Event Logs.

Ular tizimda yuz bergan ko‘plab hodisalar haqida ma’lumot saqlaydi. Jumladan:

• foydalanuvchining tizimga kirishi va chiqishi;
• muvaffaqiyatsiz autentifikatsiya urinishlari;
• yangi foydalanuvchi hisoblarining yaratilishi;
• huquqlarning o‘zgarishi;
• xizmatlarning ishga tushishi yoki to‘xtashi;
• jarayonlar bilan bog‘liq ayrim hodisalar;
• xavfsizlik siyosatidagi o‘zgarishlar.

Event Viewer’ni ochish:

eventvwr.msc

Security jurnalidagi hodisalarni CMD orqali ko‘rish:

wevtutil qe Security

Mavjud event log jurnallari ro‘yxatini PowerShell orqali ko‘rish:

Get-WinEvent -ListLog *

Muayyan jurnalni ko‘rish uchun:

Get-WinEvent -LogName Security -MaxEvents 50

Windows muhitida hodisalarni tahlil qilishda ayrim Event IDlar ham alohida ahamiyatga ega. Masalan:

• 4624 — muvaffaqiyatli tizimga kirish;
• 4625 — muvaffaqiyatsiz tizimga kirish;
• 4720 — yangi foydalanuvchi hisobining yaratilishi;
• 4728 — foydalanuvchining global security-enabled guruhga qo‘shilishi;
• 4732 — foydalanuvchining lokal security-enabled guruhga qo‘shilishi.

Biroq Event ID’ni alohida ko‘rib xulosa chiqarish to‘g‘ri emas. Hodisaning vaqti, foydalanuvchi, kompyuter nomi, IP-manzil va boshqa tegishli yozuvlar bilan bog‘lab tahlil qilish zarur.

14. Hodisani tekshirishda nimalarga e’tibor berish kerak?

Windows tizimida dastlabki Incident Response tekshiruvini quyidagi ketma-ketlikda tashkil etish mumkin:

1. Tizim holatini qayd etish

Hodisa aniqlangan vaqt, kompyuter nomi, foydalanuvchi va mavjud alomatlar qayd etiladi.

2. Foydalanuvchilarni tekshirish

Noma’lum hisoblar va administrator huquqiga ega foydalanuvchilar aniqlanadi.

3. Jarayonlarni tekshirish

Noma’lum jarayonlar, ularning PID’i, ota-jarayoni va bajarilayotgan fayl yo‘li o‘rganiladi.

4. Tarmoq ulanishlarini tahlil qilish

Noma’lum IP-manzillar, ochiq portlar va shubhali tashqi ulanishlar aniqlanadi.

5. Doimiy ishlash mexanizmlarini tekshirish

Services, Task Scheduler, Startup va Registry Run yozuvlari ko‘rib chiqiladi.

6. Fayllarni tahlil qilish

Yaqinda yaratilgan yoki o‘zgartirilgan shubhali fayllar aniqlanadi.

7. Firewall sozlamalarini tekshirish

Kutilmagan ruxsatlar va yangi qoidalar mavjudligi o‘rganiladi.

8. Event Log’larni tahlil qilish

Autentifikatsiya, hisoblar, xizmatlar va boshqa muhim hodisalar vaqt bo‘yicha taqqoslanadi.

9. Dalillarni saqlash

Aniqlangan loglar, fayllar, hash qiymatlari va boshqa raqamli dalillar imkon qadar o‘zgartirilmagan holda saqlanadi.

10. Hodisaning ko‘lamini aniqlash

Hujum yoki zararli faoliyat faqat bitta kompyuter bilan cheklanganmi yoki boshqa tizimlarga ham tarqalganmi — shu masala tekshiriladi.

15. Muhim amaliy tavsiyalar

Incident Response vaqtida aniqlangan shubhali fayl yoki jarayonni darhol o‘chirib yuborish har doim ham to‘g‘ri qaror emas. Chunki bu harakat muhim raqamli dalillarning yo‘qolishiga olib kelishi mumkin.

Shuning uchun:

• dalillarni imkon qadar avval qayd etish;
• tegishli loglarni saqlab qolish;
• fayllarning hash qiymatlarini hisoblash;
• tizimdagi vaqt va vaqt mintaqasi sozlamalarini qayd etish;
• shubhali jarayonlarning PID va fayl yo‘llarini yozib olish;
• tarmoq ulanishlari haqidagi ma’lumotlarni saqlash;
• zarur hollarda tizimni tarmoqdan izolyatsiya qilish;
• tashkilotning Incident Response rejasi asosida harakat qilish tavsiya etiladi.

Agar hodisa jiddiy bo‘lsa, tizimni o‘chirib-yoqish, fayllarni o‘chirish yoki antivirus yordamida barcha shubhali obyektlarni avtomatik tozalashdan oldin raqamli kriminalistika talablari hisobga olinishi kerak.

Windows tizimida yuzaga kelgan kiberxavfsizlik hodisasini aniqlash faqat antivirus tekshiruvini ishga tushirish bilan cheklanmaydi. Tizimdagi foydalanuvchi hisoblari, jarayonlar, xizmatlar, rejalashtirilgan vazifalar, avtomatik ishga tushuvchi dasturlar, Registry yozuvlari, tarmoq ulanishlari, umumiy resurslar, fayllar, Firewall qoidalari va Event Log jurnallari bir-biri bilan bog‘liq holda tahlil qilinishi kerak.

Bir qarashda oddiy ko‘ringan ma’lumot — masalan, noma’lum jarayon, kutilmagan administrator hisobi yoki g‘ayrioddiy tarmoq ulanishi — boshqa dalillar bilan birgalikda tahlil qilinganda kiberhujumning muhim belgisi bo‘lishi mumkin.

Shu sababli Incident Response — hodisa yuz bergandan keyingi harakat emas, balki tashkilotning kiberxavfsizlik jarayonining ajralmas qismi sifatida qaralishi lozim.

Windows tizimlarini muntazam monitoring qilish, xavfsizlik jurnallarini markazlashtirilgan holda yig‘ish, foydalanuvchi huquqlarini cheklash, endpoint himoya vositalaridan foydalanish va hodisalarga chora ko‘rish bo‘yicha aniq tartiblarning mavjudligi kiberxavfsizlik hodisalarini erta aniqlash hamda ularning oqibatlarini kamaytirishga xizmat qiladi.

Axborot va kiberxavfsizlikka mas’ul rahbarlar hamda texnik mutaxassislar diqqatiga! Tashkilotingizdagi Windows ishchi stansiyalari va serverlarida yuqoridagi ko‘rsatkichlarni muntazam nazorat qiling. Noma’lum foydalanuvchi, shubhali jarayon, kutilmagan xizmat, noodatiy tarmoq ulanishi yoki g‘ayrioddiy Event Log yozuvlari aniqlansa, holatni batafsil o‘rganing va zarur choralarni o‘z vaqtida ko‘ring.