Xavfsizlik
Dasturlash, infratuzilma, SEO, AI va biznes uchun IT — qisqa va lo‘nda.
75 ta maqola
- Xavfsizlik3 daq
3-2-1 zaxira nusxalash qoidasi: bu nima va uni qanday qo‘llash kerak
Ma’lumotlarning uchta nusxasini ikki xil saqlash turida saqlang, ulardan biri boshqa joyda bo‘lsin, hamda kamida bitta nusxani o‘chirib yoki shifrlab bo‘lmasligi uchun o‘zgarmas yoki tarmoqdan uzilgan qiling.
Asoslar - Xavfsizlik4 daq
API xavfsizligi: dasturchi uchun eng yaxshi amaliyotlar chek-listi
Xavfsiz API har bir so‘rovni autentifikatsiya qiladi, foydalanuvchining har bir aniq obyekt va maydonga huquqini serverda tekshiradi, kiritilgan ma’lumotni qat’iy sxemalar bo‘yicha validatsiya qiladi, so‘rovlar hajmini cheklaydi va xavfsizlik hodisalarini loglaydi.
Amaliyot - Xavfsizlik4 daq
Kichik biznes uchun zaxira nusxalash: nima, qay tezlikda, qayerga
Avval qancha ma’lumot va to‘xtab qolish vaqtini yo‘qotishga qodir ekaningizni aniqlang (RPO va RTO), so‘ng tizimlar ro‘yxatini tuzing, 3-2-1 qoidasi bo‘yicha avtomatik nusxalashni sozlang va tiklashni muntazam tekshiring.
Amaliyot - Xavfsizlik3 daq
Kirish nazoratining buzilishi va IDOR: qanday topish va tuzatish
IDOR — server obyektni ID bo‘yicha joriy foydalanuvchiga tegishli ekanini tekshirmasdan qaytarishi. Davosi: har bir so‘rovda serverda huquq tekshiruvi, egasi bo‘yicha filtrlangan so‘rovlar va «B foydalanuvchi A’ning ma’lumotlarini ko‘rmaydi» turidagi avtotestlar.
Amaliyot - Xavfsizlik4 daq
Command injection va path traversal: hujum misollari va himoya
Ikkala hujum ham foydalanuvchi kiritgan ma’lumot shell buyrug‘i yoki fayl yo‘lining bir qismiga aylanganda yuz beradi; himoya — shell chaqirmaslik, argumentlarni massiv bilan berish, faqat ruxsat etilgan qiymatlarni qabul qilish va yakuniy yo‘l asosiy papka ichida qolganini tekshirish.
Amaliyot - Xavfsizlik4 daq
Content Security Policy (CSP): sozlash bo‘yicha amaliy qo‘llanma
CSP — brauzer sahifada qaysi skriptlar va boshqa resurslarni ishga tushirishi mumkinligini sanab beruvchi javob sarlavhasi; eng ishonchli variant — strict-dynamic bilan nonce’ga asoslangan siyosat bo‘lib, unga hech narsani buzmaslik uchun report-only rejimi orqali asta-sekin o‘tiladi.
Chuqur - Xavfsizlik4 daq
Credential stuffing va akkauntni egallash: aniqlash va himoya
Credential stuffing — boshqa saytlardan sizib chiqqan login-parol juftliklarini ommaviy sinash; himoya qatlamli bo‘ladi: k-anonymity orqali buzilgan parollarni bloklash, har bir kirishni qurilma va xulq bo‘yicha baholash, ikkinchi omilni faqat xavf yuqori bo‘lganda so‘rash, botlarni filtrlash va kirish anomaliyalarini kuzatish.
Chuqur - Xavfsizlik4 daq
Kichik biznes uchun kiberxavfsizlik: nimadan boshlash kerak
Oltita asosiy qadamdan shu tartibda boshlang: barcha akkauntlarni ro‘yxatga oling, hamma joyda 2FA yoqing, avtomatik yangilanishlarni sozlang, tiklab ko‘rilgan zaxira nusxalar yarating, xodim ketganda kirishni bekor qiling va qurilmalarni himoyalang, har bir vazifaga aniq mas’ul tayinlang.
Asoslar - Xavfsizlik4 daq
Mijozlar ma’lumotlari sizib chiqdi: nima qilish va kimga xabar berish
Avval sizishni to‘xtating va dalillarni saqlang, kimning va qanday ma’lumotlari chiqqanini aniqlang, regulyator va jabrlanganlarni belgilangan muddatda xabardor qiling (GDPR bo‘yicha nazorat organiga 72 soat), so‘ng sababni bartaraf eting.
Amaliyot - Xavfsizlik4 daq
Saytni DDoS hujumlaridan qanday himoya qilish mumkin
Saytni Cloudflare kabi trafikni filtrlovchi xizmat ortiga qo‘ying, serverning haqiqiy IP manzilini yashirib, unga faqat shu xizmatdan kirishga ruxsat bering, iloji boricha ko‘proq narsani keshlang va hujum uchun rejani oldindan tayyorlang.
Amaliyot - Xavfsizlik3 daq
Zaif bog‘liqliklar: loyihada ularni qanday topish va tuzatish mumkin
Bog‘liqliklarni muntazam skanerlang (npm audit, pip-audit), yangilanishlarni Dependabot yoki Renovate bilan avtomatlashtiring, lock-fayllarni commit qiling va avvalo ilovangizda haqiqatan ham ekspluatatsiya qilinishi mumkin bo‘lgan zaifliklarni tuzating.
Amaliyot - Xavfsizlik4 daq
Docker konteynerlari xavfsizligi: production uchun amaliyotlar
Xavfsiz konteyner root bo‘lmagan foydalanuvchi nomidan, minimal va tekshirilgan obrazdan ishlaydi, qatlamlarida sir saqlamaydi, ortiqcha capabilities’dan mahrum, resurslari cheklangan va Docker soketiga tashqaridan kirish yo‘q.
Amaliyot - Xavfsizlik3 daq
Saqlashda va uzatishda shifrlash: har biri nimadan himoya qiladi
Uzatishdagi shifrlash (TLS) ma’lumotlarni tarmoq bo‘ylab ketayotganda, saqlashdagi shifrlash esa disk, baza yoki zaxira nusxada turganda himoya qiladi. Ikkalasi ham kerak, lekin hech biri ilovaning o‘zi buzilishidan saqlamaydi.
Asoslar - Xavfsizlik3 daq
Aralash kontent (mixed content) xatolari: sabablari va yechimi
Mixed content — HTTPS sahifa skript, stil yoki rasmlarni oddiy HTTP orqali yuklashi; ularni DevTools’da toping, kod va ma’lumotlar bazasida manzillarni HTTPS’ga almashtiring, upgrade-insecure-requests’ni esa sug‘urta sifatida qo‘shing.
Amaliyot - Xavfsizlik4 daq
GDPR oddiy tilda: Yevropa Ittifoqidan tashqaridagi kompaniyalar uchun
GDPR Yevropa Ittifoqidan tashqaridagi kompaniyaga, agar u YeIdagi odamlarga tovar yoki xizmat taklif qilsa yoki ularning xatti-harakatini kuzatsa, qo‘llaniladi. Bunda har bir ishlov berish uchun huquqiy asos, tushunarli siyosat, foydalanuvchi so‘rovlariga javob berish tartibi va sizib chiqish haqida 72 soat ichida xabar berishga tayyorlik kerak.
Asoslar - Xavfsizlik4 daq
HashiCorp Vault yoki AWS, GCP va Azure secret manager’lari
Butun infratuzilma bitta bulutda va jamoa kichik bo‘lsa, shu bulutning o‘rnatilgan secret manager’ini oling; Vault esa ko‘p bulut yoki o‘z serverlaringiz bo‘lganda, dinamik secret’lar kerak bo‘lganda va jamoada uni qo‘llab-quvvatlashga resurs bo‘lganda o‘zini oqlaydi.
Chuqur - Xavfsizlik3 daq
HTTPS qanday ishlaydi: TLS handshake, sertifikatlar va kalitlar
HTTPS — TLS tunneli ichidagi oddiy HTTP: handshake paytida server sertifikat orqali o‘zini tasdiqlaydi, tomonlar yangi sessiya kalitlarini kelishib oladi va shundan keyin butun trafik shifrlanadi hamda o‘zgartirishdan himoyalanadi.
Asoslar - Xavfsizlik3 daq
OAuth 2.0 va OpenID Connect qanday ishlaydi
OAuth 2.0 ilovaga parolni bermasdan API’ga cheklangan ruxsat beradi, OpenID Connect esa uning ustiga ID token qo‘shadi va ilovaga aynan kim kirganini aytadi.
Asoslar - Xavfsizlik3 daq
O‘zingiz va jamoangiz uchun parol menejerini qanday tanlash
Zero-knowledge shifrlash, e’lon qilingan mustaqil auditlar, qulay ulashish va 2FA’ga ega menejerni tanlang; Bitwarden, 1Password va KeePass turli ehtiyojlarga mos keladi, jamoani esa qisqa pilot va barcha umumiy parollarni almashtirish orqali o‘tkazgan ma’qul.
Asoslar - Xavfsizlik3 daq
Eslab qolish oson bo‘lgan ishonchli parolni qanday tuzish
Ishonchli parol ayyorona emas, balki uzun va tasodifiy bo‘ladi: eslab qolishingiz kerak bo‘lgan bir nechta parol uchun 4–6 ta tasodifiy so‘zdan iborat ibora ishlating, har joyda noyob parol qo‘ying, qolganini parol menejeriga topshiring.
Asoslar - Xavfsizlik3 daq
Fishingni qanday aniqlash mumkin: xatlar, saytlar va xabarlar
Fishing deyarli har doim uch narsada o‘zini fosh qiladi: shoshiltirish, hoziroq ochish kerak bo‘lgan havola yoki fayl va haqiqiysiga faqat o‘xshagan manzil. Qoida bitta: xabardagi havolaga o‘tmang, servisni o‘zingiz oching yoki oldindan bilgan raqamingizga qo‘ng‘iroq qiling.
Asoslar - Xavfsizlik4 daq
Bug bounty yoki zaifliklarni oshkor qilish dasturini qanday boshlash
Zaifliklarni oshkor qilish dasturidan boshlang: security.txt fayli, scope va tadqiqotchilar uchun kafolatlar yozilgan aniq siyosat hamda triaj jarayoni; pullik mukofotlarni jamoa topilganlarni tez tuzata olgandagina qo‘shing.
Chuqur - Xavfsizlik3 daq
API kalitlar va maxfiy ma’lumotlarni saqlash: nafaqat .env
Maxfiy ma’lumotlar kod va repozitoriyga tushmasligi kerak: ilova ularni muhit o‘zgaruvchilaridan oladi, qiymatlarning o‘zi esa CI/CD yoki bulutdagi maxfiy omborda, har bir muhit uchun alohida, minimal huquqlar va muntazam rotatsiya bilan saqlanadi.
Amaliyot - Xavfsizlik3 daq
Sayt uchun HTTP xavfsizlik sarlavhalari chek-listi
Bir nechta javob sarlavhasi — HSTS, CSP, X-Content-Type-Options, X-Frame-Options yoki frame-ancestors, Referrer-Policy, Permissions-Policy va cookie’lar uchun Secure bayroqlari — brauzerda HTTP’ga pasaytirish, clickjacking, MIME sniffing va ma’lumot sizib chiqishidan himoyani deyarli bepul yoqadi.
Amaliyot - Xavfsizlik3 daq
HTTP yoki HTTPS: nega har qanday saytga shifrlash kerak
HTTP orqali bir tarmoqdagi yoki trafik yo‘lidagi har kim ma’lumotlarni o‘qiy va o‘zgartira oladi, brauzerlar bunday saytlarni «Xavfsiz emas» deb belgilaydi va ko‘plab zamonaviy funksiyalar ishlamaydi — shuning uchun HTTPS har qanday saytga, hatto oddiy lendingga ham kerak.
Asoslar - Xavfsizlik4 daq
JWT xavfsizligi: odatiy xatolar va ulardan qanday qochish
JWT faqat server algoritmni qat’iy belgilasa, kuchli kalit ishlatsa, muddat, emitent va auditoriyani tekshirsa, qisqa muddatli access tokenlarni aylantiriladigan refresh tokenlar bilan bersa va ularni JavaScript yeta olmaydigan joyda saqlasa xavfsiz.
Chuqur - Xavfsizlik3 daq
Maxfiy kalit Git’ga tushib qoldi: hozir nima qilish kerak
Avval sizib chiqqan kalitni bekor qilib, yangisiga almashtiring, so‘ng log’larda shubhali foydalanishni tekshiring, keyin tarixni git-filter-repo bilan tozalang va takrorlanmasligi uchun gitleaks’ni pre-commit va CI’ga qo‘shing.
Amaliyot - Xavfsizlik3 daq
OWASP MASVS asosida mobil ilova xavfsizligi chek-listi
MASVS dan chek-list sifatida foydalaning: sirlarni Keychain yoki Keystore’da saqlang, sertifikatlarni pinning qiling, root’ni aniqlang, relizlarni obfuskatsiya qiling, har bir deep link’ni tekshiring, biznes-mantiq, narxlar va kalitlarni serverda saqlang.
Amaliyot - Xavfsizlik3 daq
OWASP Top 10 oddiy tilda: veb-ilovalarning asosiy zaifliklari
OWASP Top 10 — veb-ilovalardagi eng ko‘p uchraydigan va xavfli zaiflik turlari ro‘yxati. Tekshiruvni kirish huquqlari, sozlamalar, bog‘liqliklar, inyeksiyalar va tizimga kirishdan boshlash kerak.
Asoslar - Xavfsizlik3 daq
Parollarni qanday to‘g‘ri saqlash kerak: bcrypt, scrypt va Argon2
Parollar faqat salt qo‘shilgan sekin xesh ko‘rinishida saqlanadi — Argon2id, scrypt yoki bcrypt, MD5 yoki SHA emas. Eski xeshlar yangi algoritmga asta-sekin, foydalanuvchi tizimga kirganda o‘tkaziladi.
Amaliyot - Xavfsizlik4 daq
PCI DSS: kartadan to‘lov qabul qiluvchi biznes nimani bilishi kerak
PCI DSS — karta ma’lumotlari bilan ishlovchi har bir biznes uchun xalqaro to‘lov tizimlarining xavfsizlik standarti; unga eng oson muvofiq bo‘lish yo‘li — provayderning to‘lov sahifasi yoki tokenizatsiya orqali karta raqamlarini umuman o‘z serverlaringizga kiritmaslik.
Amaliyot - Xavfsizlik3 daq
SQL-inyeksiyalardan himoya: parametrlangan so‘rovlar va ORM
SQL-inyeksiyalardan parametrlangan so‘rovlar himoya qiladi: so‘rov matni va ma’lumotlar bazaga alohida yuboriladi, kiritilgan ma’lumot buyruqqa aylana olmaydi. Ustun nomlari oq ro‘yxatdan olinadi, ilova esa minimal huquqli DB foydalanuvchisi ostida ishlaydi.
Amaliyot - Xavfsizlik3 daq
React va Next.js ilovalarida XSS dan himoyalanish
React JSX dagi matnni ekranlaydi, shuning uchun XSS bu himoyani aylanib o‘tganda paydo bo‘ladi: dangerouslySetInnerHTML, xavfli URL’lar, HTML’li Markdown va DOM bilan to‘g‘ridan-to‘g‘ri ishlash. HTML’ni DOMPurify bilan tozalang, havola sxemalarini tekshiring va CSP ni yoqing.
Amaliyot - Xavfsizlik4 daq
Maxfiylik siyosati va cookie roziligi: saytga nima kerak
Formalar orqali ma’lumot yig‘adigan yoki analitika ulagan saytga haqiqiy ishlov berishni tasvirlaydigan maxfiylik siyosati va qonun talab qilgan joyda foydalanuvchi roziligi kerak. Rozilik ixtiyoriy bo‘lishi lozim: rad etish rozi bo‘lish kabi oson, majburiy bo‘lmagan skriptlar esa tanlovgacha ishga tushmaydi.
Amaliyot - Xavfsizlik4 daq
Telegram akkauntini o‘g‘irlanishdan qanday himoya qilish mumkin
Telegram akkauntlarining deyarli barchasi egasi kirish kodini o‘zi berib qo‘ygani uchun o‘g‘irlanadi — soxta ovoz berish saytida yoki «do‘st» bilan yozishmada. Tiklash pochtasi bilan bulutli parolni yoqing, faol seanslarni muntazam tekshiring va Telegram yoki SMSdagi kodni hech kimga aytmang.
Amaliyot - Xavfsizlik3 daq
Ommaviy Wi-Fi xavfsizmi: real xavflar va qanday himoyalanish
Hamma joyda HTTPS tufayli ommaviy Wi-Fi ancha xavfsiz bo‘ldi, ammo real xavflar qoldi — soxta kirish nuqtalari, avtorizatsiya sahifasidagi fishing va shifrlanmagan ilovalar; bir nechta oddiy qoida va kerakli hollarda VPN xotirjam ishlash uchun yetarli.
Asoslar - Xavfsizlik3 daq
Kompaniyani to‘lov talab qiluvchi dasturlardan qanday himoyalash
Asosiy kirish yo‘llarini — fishing, ochiq RDP va yangilanmagan dasturlarni yoping, ikki bosqichli autentifikatsiyani yoqing, huquqlarni cheklang, izolyatsiya qilingan zaxira nusxalarni saqlang, zararlanganda esa qurilmalarni darhol tarmoqdan uzing.
Amaliyot - Xavfsizlik4 daq
Kirish va API uchun rate limiting va parol tanlashdan himoya
Urinishlarni bir vaqtda IP va akkaunt bo‘yicha cheklang, qattiq bloklash o‘rniga bir necha xatodan keyin o‘sib boruvchi kechikish va CAPTCHA dan foydalaning, hisoblagichlarni Redis kabi umumiy omborda saqlang va ustidan nginx da umumiy limit qo‘ying.
Amaliyot - Xavfsizlik3 daq
RBAC va ABAC: ilovada rollar va kirish huquqlarini qanday loyihalash
Nomlangan huquqlarni birlashtiruvchi rollar — RBAC dan boshlang va ABAC qoidalarini faqat kirish ma’lumotlarga bog‘liq bo‘lgan joyda qo‘shing, masalan «o‘z bitimlari» yoki «o‘z filiali bitimlari», hammasini serverda tekshiring.
Amaliyot - Xavfsizlik4 daq
Rossiyaning 152-FZ qonuni: shaxsga doir ma’lumotlar bo‘yicha talablar
Agar siz Rossiya fuqarolarining shaxsga doir ma’lumotlarini yig‘sangiz, 152-FZ bo‘yicha operator hisoblanasiz: Roskomnadzorni xabardor qilish, alohida rozilik olish, rossiyaliklar ma’lumotlarini avval Rossiya hududidagi bazalarda saqlash, hujjatlar to‘plamiga ega bo‘lish va sizib chiqish haqida bir sutka ichida xabar berish kerak.
Asoslar - Xavfsizlik4 daq
SAST, DAST va IAST: CI/CD’da xavfsizlik testlarini avtomatlashtirish
SAST manba kodni o‘qib, xavfli shablonlarni erta ushlaydi, DAST ishlayotgan ilovaga tashqaridan hujum qiladi, IAST esa testlar paytida ichkaridan kuzatadi; amaliy pipeline SAST’ni har bir pull request’da, DAST’ni staging’da ishga tushiradi va build’ni faqat yangi ishonchli topilmalarda to‘xtatadi.
Chuqur - Xavfsizlik4 daq
Admin panelni qanday himoya qilish kerak: amaliy chek-list
Admin panel qatlamma-qatlam himoyalanadi: alohida domenga chiqariladi, hamma uchun 2FA yoqiladi, kirish IP yoki VPN bilan cheklanadi, faqat kerakli huquqlar beriladi, har bir harakat loglanadi va faol bo‘lmagan sessiyalar yopiladi.
Amaliyot - Xavfsizlik3 daq
Xavfsiz cookie: HttpOnly, Secure va SameSite bayroqlari
Sessiya cookie’si HttpOnly, Secure, SameSite=Lax (yoki Strict) bo‘lishi, __Host- prefiksiga va serverda cheklangan muddatga ega bo‘lishi kerak. Bu bayroqlar XSS orqali o‘g‘irlash, HTTP orqali sizib chiqish va CSRF’ning katta qismini yopadi.
Amaliyot - Xavfsizlik3 daq
Fayllarni xavfsiz yuklash: dasturchi uchun chek-list
Yuklangan fayl — ishonchsiz ma’lumot, uni ishga tushirish ham, o‘z holicha berish ham mumkin emas. Turini allowlist va signatura bo‘yicha tekshiring, hajmini cheklang, qayta nomlang, web root’dan tashqarida saqlang, rasmlarni qayta kodlang va viruslarga skanerlang.
Amaliyot - Xavfsizlik4 daq
Parolni xavfsiz tiklash va akkauntni qayta tiklash: amaliy qo‘llanma
Faqat xeshi saqlanadigan tasodifiy, bir martalik va qisqa muddatli token yuboring, akkaunt bor-yo‘qligidan qat’i nazar bir xil javob bering, so‘rovlarni cheklang, tiklashdan keyin barcha sessiyalarni yoping va tiklash 2FA ni o‘chirib yubormasin.
Amaliyot - Xavfsizlik4 daq
Xavfsizlik auditi, pentest va zaifliklarni skanerlash: farqi nimada
Skanerlash — ma’lum muammolarni tez avtomatik tekshirish, pentest — haqiqiy zararni isbotlaydigan qo‘lda buzishga urinish, audit esa kod, sozlamalar va jarayonlarning talablarga mosligini tekshirish.
Asoslar - Xavfsizlik3 daq
Xavfsizlik loglari: nimani yozish va qaysi holatlarga alert sozlash
Kirishlar, huquqlar o‘zgarishi, admin amallari va kirish rad etilganda kim, nima, qachon, qayerdan va qanday natija bilan qilganini yozing; parollar, tokenlar va karta ma’lumotlarini hech qachon yozmang; loglarni markazda saqlang va terib ko‘rish, yangi adminlar va ommaviy eksportga alert sozlang.
Amaliyot - Xavfsizlik3 daq
SIM-svop: firibgarlar telefon raqamini qanday o‘g‘irlaydi va himoya
SIM-svopda firibgar raqamingizni o‘z SIM-kartasiga qayta chiqartiradi va SMS-kodlaringizni qabul qila boshlaydi. Himoya — imkon bor joyda parol va bulutli parol, SMSga bog‘liq bo‘lmagan ikkinchi omil va shaxsan kelmasdan qayta chiqarishni taqiqlash.
Asoslar - Xavfsizlik4 daq
SMS, autentifikator ilovasi yoki kalit: qaysi 2FA’ni tanlash kerak
SIM almashtirish va ushlab qolish sababli SMS eng zaif 2FA, autentifikator ilovasi ishonchli standart variant, FIDO2 kalitlari va passkeys esa fishingga chidamli yagona keng tarqalgan usul, shuning uchun ularni pochta, adminlar va moliya uchun ishlating.
Amaliyot - Xavfsizlik4 daq
Dasturiy ta’minot yetkazib berish zanjiriga hujumlar va himoya
Yetkazib berish zanjiriga hujum sizning kodingizga emas, u nimadan yig‘ilishiga — paketlar, vositalar va CI’ga qaratiladi; himoya versiyalarni qayd etish, install-skriptlarni taqiqlash, SBOM, imzolarni tekshirish va CI’dagi minimal huquqlarga asoslanadi.
Chuqur - Xavfsizlik3 daq
SPF, DKIM va DMARC: domeningizni soxta xatlardan himoya qilish
SPF domeningiz nomidan xat yuborishga ruxsat berilgan serverlarni sanab o‘tadi, DKIM xatlarni imzolaydi, DMARC esa tekshiruvdan o‘tmagan xatlar bilan nima qilishni qabul qiluvchilarga aytadi va sizga hisobot yuboradi. Uchalasi birgalikda firibgarlarga domeningiz nomidan xat tarqatishga yo‘l qo‘ymaydi.
Amaliyot - Xavfsizlik3 daq
Linux serverda SSH’ni qanday himoyalash kerak
Xavfsiz SSH — sudo huquqli alohida foydalanuvchi ostida faqat kalit orqali kirish, root va parol bilan kirishni taqiqlash, parol tanlashga qarshi fail2ban, kirishni cheklaydigan firewall va loglarni muntazam ko‘rib chiqish. Muhim serverlar uchun ikkinchi omil, masalan apparat kalit qo‘shing.
Amaliyot - Xavfsizlik3 daq
Simmetrik va asimmetrik shifrlash oddiy so‘zlar bilan
Simmetrik shifrlashda bitta kalit ma’lumotni ham qulflaydi, ham ochadi — bu tez, lekin kalitni qandaydir xavfsiz yetkazish kerak. Asimmetrik shifrlashda kalitlar jufti bor: shifrlash yoki imzoni tekshirish uchun ochiq kalit, shifrdan chiqarish yoki imzolash uchun yopiq kalit. Amalda ular birlashtiriladi: asimmetriya kalit bo‘yicha kelishishga yordam beradi, simmetriya esa ma’lumotlarning o‘zini shifrlaydi.
Asoslar - Xavfsizlik4 daq
STRIDE bo‘yicha tahdidlarni modellashtirish: jamoa uchun qo‘llanma
STRIDE bo‘yicha tahdidlarni modellashtirish — tizimda ma’lumot qanday harakatlanishini chizish, ishonch darajasi o‘zgaradigan joylarni belgilash, har bir elementga oltita standart savol berish va haqiqiy xavflarni kod yozilishidan oldin ustuvor backlog vazifalariga aylantirish.
Chuqur - Xavfsizlik3 daq
TLS’ni xavfsiz sozlash: protokollar, shifrlar va SSL Labs’da A+
Faqat TLS 1.2 va 1.3 ni, faqat AEAD shifrlari bilan ECDHE kalit almashinuvini qoldiring, to‘liq sertifikatlar zanjirini bering va HSTS qo‘shing — bu kombinatsiya SSL Labs’ning odatiy e’tirozlarini yo‘qotadi va A+ bahosiga standart yo‘l hisoblanadi.
Chuqur - Xavfsizlik3 daq
Shaxsga doir ma’lumotlar qonuni: sayt va ilovalar uchun talablar
Agar saytingiz yoki ilovangiz O‘zbekiston fuqarolarining ma’lumotlarini yig‘sa, ularning roziligini olishingiz, bu ma’lumotlarni O‘zbekistondagi serverlarda saqlashingiz, bazani davlat reestrida ro‘yxatdan o‘tkazishingiz va uni tashkiliy hamda texnik choralar bilan himoya qilishingiz kerak.
Asoslar - Xavfsizlik4 daq
Vebhuk imzosini HMAC orqali tekshirish va soxtalashtirishdan himoya
So‘rovning xom tanasi (va timestamp) bo‘yicha HMAC ni umumiy sir bilan qayta hisoblang, imzo bilan doimiy vaqtda taqqoslang, eski timestamp va takroriy hodisa ID larini rad eting — va shundan keyingina vebhukka ishonib, uni qayta ishlang.
Amaliyot - Xavfsizlik4 daq
Sayt buzib kirildi: bosqichma-bosqich harakat rejasi
Saytingiz buzilgan bo‘lsa, vahimaga tushib hammasini o‘chirmang: avval zararni cheklang va tahlil uchun nusxa oling, so‘ng hujumchi qanday kirganini toping, saytni toza manbadan tiklang, barcha parol va kalitlarni almashtiring, kerak bo‘lsa foydalanuvchilarni xabardor qiling va qidiruv tizimlaridan qayta tekshiruv so‘rang.
Amaliyot - Xavfsizlik3 daq
Saytni ishga tushirishdan oldin xavfsizlik chek-listi
Ishga tushirishdan oldin HTTPS va xavfsizlik sarlavhalarini yoqing, admin panelni yoping, standart akkauntlar va debug rejimini olib tashlang, hammasini yangilang, formalarni himoyalang va backuplar tiklanishiga, xatolar sizga yetib borishiga ishonch hosil qiling.
Amaliyot - Xavfsizlik3 daq
Passkeys nima va ular parollarni almashtiradimi
Passkey — parol o‘rniga ishlatiladigan kriptografik kalitlar juftligi: yopiq kalit qurilmangizda qoladi va barmoq izi, yuz yoki PIN-kod bilan ochiladi, sayt faqat ochiq kalitni saqlaydi, soxta sayt esa undan foydalana olmaydi, shuning uchun fishing va parollarning sizib chiqishi ish bermay qoladi.
Asoslar - Xavfsizlik3 daq
BEC firibgarligi: direktor nomidan soxta xatlar va hisoblar
BEC firibgarlari direktor yoki yetkazib beruvchi nomidan yozib, hisobni shoshilinch to‘lashni yoki rekvizitlarni almashtirishni so‘raydi; himoya oddiy qoida — har qanday yangi yoki o‘zgargan rekvizit oldindan ma’lum raqamga qo‘ng‘iroq va ikkinchi xodim orqali tasdiqlanadi.
Asoslar - Xavfsizlik3 daq
Clickjacking nima va saytni undan qanday himoya qilish kerak
Clickjacking — saytingiz qopqon ustidagi ko‘rinmas iframe’ga yuklanadi va foydalanuvchi boshqa narsani bosyapman deb sizning tugmangizni bosadi. Himoya — CSP frame-ancestors va X-Frame-Options sarlavhalari bilan sahifalarni joylashtirishni taqiqlash.
Asoslar - Xavfsizlik3 daq
CSRF nima va veb-ilovani undan qanday himoya qilish kerak
CSRF — begona sayt foydalanuvchi brauzerini uning cookie’lari bilan sizning ilovangizga so‘rov yuborishga majbur qiladigan hujum. Himoya: ma’lumotni o‘zgartiruvchi har bir so‘rovda CSRF-token yoki Origin tekshiruvi, qo‘shimcha qatlam sifatida esa SameSite cookie.
Asoslar - Xavfsizlik4 daq
DDoS-hujum nima va u saytlarni qanday ishdan chiqaradi
DDoS-hujum — minglab zararlangan qurilmalardan keladigan so‘rovlar oqimi bo‘lib, u kanalni, tarmoq uskunasini yoki ilovaning o‘zini to‘ldirib qo‘yadi va sayt haqiqiy foydalanuvchilarga javob bermay qo‘yadi. Himoya — trafikni serverga yetmasdan filtrlash: CDN, anti-DDoS va so‘rovlar chastotasini cheklash.
Asoslar - Xavfsizlik3 daq
HSTS nima va uni qanday xavfsiz yoqish mumkin
HSTS — brauzerga belgilangan muddat davomida domeningizga faqat HTTPS orqali kirishni buyuradigan javob sarlavhasi, u pasaytirish hujumlarini bloklaydi; uni bosqichma-bosqich yoqing: max-age’ni asta oshiring, includeSubDomains va preload’ni esa barcha subdomenlar HTTPS’da ishlagandan keyingina qo‘shing.
Amaliyot - Xavfsizlik4 daq
ISO 27001 nima va kompaniyangizga sertifikatsiya kerakmi
ISO 27001 — axborot xavfsizligini boshqarish tizimi (ISMS) bo‘yicha xalqaro standart; sertifikat mijozlar, tenderlar yoki hamkorlar uni aniq talab qilganda kerak, boshqa hollarda ko‘pincha unga asoslangan yengil siyosatlar to‘plami yetarli.
Asoslar - Xavfsizlik4 daq
Pentest nima va kirib borishga testlash qanday o‘tkaziladi
Pentest — ruxsat berilgan hujum imitatsiyasi: mutaxassislar kelishilgan chegarada tizimingizni buzishga urinadi va isbotlangan zaifliklar, ularning oqibatlari hamda tuzatish yo‘llari yozilgan hisobot topshiradi.
Asoslar - Xavfsizlik3 daq
Ijtimoiy muhandislik nima: pretexting, vishing va qopqonlar
Ijtimoiy muhandislik tizimlarni emas, odamlarni aldaydi: hujumchi shoshilinchlik yaratadi yoki o‘zini rahbar qilib ko‘rsatadi, shunda siz kodni, kirish huquqini o‘zingiz berasiz. Himoya — to‘xtab, o‘z kanalingiz orqali qayta tekshirish odati.
Asoslar - Xavfsizlik3 daq
SQL-inyeksiya nima va hujumchilar undan qanday foydalanadi
SQL-inyeksiya — foydalanuvchi ma’lumoti SQL so‘rovning bir qismiga aylanib, uning ma’nosini o‘zgartiradigan zaiflik. U orqali kirishni aylanib o‘tadi, bazani yuklab oladi va ma’lumotlarni o‘chiradi; sababi — parametrlangan so‘rovlar o‘rniga satrlarni ulash.
Asoslar - Xavfsizlik4 daq
SSRF hujumlari: server so‘rovlarini qalbakilashtirish qanday ishlaydi
SSRF — hujumchi serveringizni o‘zi tanlagan manzilga, masalan ichki tarmoq yoki bulut metadata servisiga so‘rov yuborishga majbur qiladigan zaiflik. Himoya qatlamli: URL allowlist, DNS’dan keyin IP tekshiruvi, chiquvchi trafikni izolyatsiya qilish va IMDSv2.
Chuqur - Xavfsizlik3 daq
Ikki bosqichli autentifikatsiya (2FA) nima va uni nega yoqish kerak
Ikki bosqichli autentifikatsiya paroldan tashqari shaxsni ikkinchi marta tasdiqlashni, masalan telefondagi kodni so‘raydi, shuning uchun o‘g‘irlangan parolning o‘zi yetarli bo‘lmaydi; uni birinchi navbatda pochta, Google yoki Apple, bank va Telegram uchun yoqing.
Asoslar - Xavfsizlik3 daq
WAF (veb-ilovalar uchun tarmoqlararo ekran) nima va u sizga kerakmi
WAF — sayt oldida turib HTTP so‘rovlarni tekshiradigan va SQL-in’eksiya, XSS kabi tipik hujumlarni to‘sadigan filtr. U xavfni kamaytiradi, lekin yangilanishlar va xavfsiz kod o‘rnini bosmaydi; asosan formalar, shaxsiy kabinet, to‘lovlar bor yoki ko‘p tashrif buyuriladigan saytlar uchun o‘zini oqlaydi.
Asoslar - Xavfsizlik3 daq
XSS nima: saytlararo skripting turlari va hujum misollari
XSS — begona JavaScript sizning saytingizda foydalanuvchi brauzerida bajariladigan zaiflik. Asosiy himoya — har qanday ma’lumotni chiqarishda kontekstga qarab ekranlash: HTML, atribut, URL yoki skript.
Asoslar - Xavfsizlik3 daq
WordPress xavfsizligi: saytni bosqichma-bosqich himoyalash
WordPress ko‘pincha yadro orqali emas, eskirgan plaginlar va zaif parollar orqali buziladi. Hammasini yangilab turing, kam va tekshirilgan plaginlar qoldiring, kirishni 2FA va urinishlar limiti bilan himoyalang, fayl muharriri va keraksiz XML-RPC’ni o‘chiring, huquqlarni sozlang va tashqi zaxira nusxalar qiling.
Amaliyot - Xavfsizlik3 daq
Zero Trust modeli: bu nima va joriy etishni nimadan boshlash kerak
Zero Trust — foydalanuvchi ham, qurilma ham faqat ichki tarmoqda bo‘lgani uchun ishonchga ega bo‘lmaydigan yondashuv: resursga har bir so‘rov shaxs, qurilma holati va kontekst bo‘yicha tekshiriladi. Ish «quti» sotib olishdan emas, inventarizatsiya, MFA bilan yagona kirish va eng qimmatli tizimlarni himoyalashdan boshlanadi.
Chuqur
G‘oya yoki vazifangiz bormi? Bizga aytib bering
Ish kuni davomida javob beramiz va yechim taklif qilamiz. Konsultatsiya bepul.