IT kompaniya va autsorsing · 2026-yil 14-oktabr · 2 daqiqa o‘qish
Pentest: kompaniya himoyasini hujumchi usullari bilan tekshirish
Bu sahifa rus tilida: /blog/kiberbezopasnost-i-etichnyy-haking
Penetratsion test (pentest) — mutaxassislar kompaniya roziligi bilan va kelishilgan qoidalar doirasida uning tizimlariga hujumchi usullari bilan kirishga urinishi. Maqsad — zaif joylarni topish va ularni haqiqiy hujumdan oldin tuzatish. Bu ish «axloqiy xakerlik» deb ham ataladi: farqi texnikada emas, ruxsat va maqsadda.
Zaifliklarni skanerlashdan farqi
Skanerlash — avtomatik vosita ma’lum zaifliklarni qidiradi va ro‘yxat beradi. Tez, muntazam o‘tkaziladi, lekin ko‘p noto‘g‘ri signal beradi va zaifliklarni birlashtira olmaydi.
Pentest — odam skaner natijalaridan va o‘z tajribasidan foydalanib, zaifliklarni bir zanjirga bog‘laydi: kichik xato orqali kirib, huquqlarni oshirib, muhim ma’lumotgacha yetib boradi. Natija — qanday xavf haqiqatan amalga oshishi mumkinligi.
Pentest turlari
- Tashqi — internetdan: sayt, pochta, VPN, ochiq xizmatlar
- Ichki — ofis tarmog‘iga ulangan hujumchi yoki buzilgan xodim kompyuteri ssenariysi
- Veb-ilovalar — sayt, shaxsiy kabinet, API
- Mobil ilovalar
- Ijtimoiy muhandislik — fishing xatlar, qo‘ng‘iroqlar, ofisga kirish urinishlari
- Wi-Fi tarmoqlari
Bilim darajasi bo‘yicha
- Qora quti — pentesterlar faqat kompaniya nomini biladi, tashqi hujumchi kabi
- Kulrang quti — oddiy foydalanuvchi hisobi va ba’zi ma’lumotlar beriladi
- Oq quti — arxitektura, kod va hujjatlarga to‘liq kirish
Oq va kulrang quti bir xil vaqtda ko‘proq muammoni topadi; qora quti haqiqiy tashqi hujumchi ko‘radigan manzarani ko‘rsatadi.
Bosqichlar
- Kelishuv. Doira, muddatlar, ruxsat etilgan va taqiqlangan harakatlar, aloqa shaxslari
- Razvedka. Ochiq ma’lumot yig‘ish: domenlar, xizmatlar, xodimlar
- Zaifliklarni topish. Skanerlash va qo‘lda tahlil
- Ekspluatatsiya. Zaifliklardan foydalanib kirishga urinish
- Rivojlantirish. Huquqlarni oshirish, boshqa tizimlarga o‘tish
- Hisobot. Topilganlar, isbotlar, xavf darajasi, tuzatish tavsiyalari
Buyurtma berishda nimani kelishish
- Aniq doira: qaysi manzillar, tizimlar, ilovalar
- Ishchi tizimlarga ta’sir: qaysi harakatlar taqiqlangan, masalan xizmatni to‘xtatish
- Vaqt oralig‘i — ish vaqtida yoki tunda
- Favqulodda aloqa: biror narsa noto‘g‘ri ketsa kimga qo‘ng‘iroq qilish
- Yozma ruxsat — usiz bunday harakatlar huquqbuzarlik hisoblanishi mumkin
- Topilgan ma’lumotlar maxfiyligi va hisobotdan keyin yo‘q qilinishi
Pudratchini tanlash
- Shunga o‘xshash loyihalar tajribasi
- Hisobot namunasi — anonimlashtirilgan
- Mutaxassislarning amaliy tajribasi va sertifikatlari
- Faqat avtomatik skaner natijasini «pentest» deb sotmasligi
Hisobotdan qanday foydalanish
Yaxshi hisobotda rahbariyat uchun qisqa xulosa va texnik jamoa uchun batafsil qism bo‘ladi. Har bir topilma uchun mas’ul va muddat belgilang, eng xavflilaridan boshlang. Tuzatishlardan keyin qayta tekshiruv buyurtma qiling — tuzatish haqiqatan ishlaganini faqat shunday bilasiz.
Qanchalik tez-tez
Odatda yiliga bir marta va katta o‘zgarishlardan keyin: yangi tizim, yangi ilova, infratuzilma ko‘chirilishi. Oraliqda muntazam avtomatik skanerlash davom etadi.
Vazifani muhokama qilamiz
Ism va telefon raqamingizni qoldiring — qo‘ng‘iroq qilib, jarayon haqida so‘raymiz va nimadan boshlashni taklif qilamiz.
Loyihani muhokama qilish