Raqamlashtirishning jadal sur’atlari va zamonaviy axborot-kommunikatsiya texnologiyalarini hayotning ijtimoiy-iqtisodiy sohalariga joriy etilishi nafaqat yangi imkoniyatlarning yaratilishiga yordam beradi, balki xavfsizlikka doir yangi tahdidlarni ham o‘z ichiga oladi. Davlat organlari va boshqa tashkilotlar tomonidan kiberxavfsizlikni ta’minlash bo‘yicha ko‘rilayotgan tashkiliy-texnik chora-tadbirlarga qaramay, axborot tizimlari va resurslari faoliyatining buzilishiga, shuningdek, maxfiy ma’lumotlarning sizib chiqib ketishiga olib keladigan hodisalar soni ortib bormoqda.
Yilning birinchi yarmida milliy kibermakonda aniqlangan kiberxavfsizlik tahdidlari va zaifliklari tahlili asosida mutaxassislar kibertahdid va zaifliklarning quyidagi asosiy turlarini aniqladilar:
Kibertahdidlar :
1. Davlat idoralari va boshqa tashkilotlarning veb-resurslari kiberjinoyatchilar tomonidan zaifliklarni qidirish (scan) turli vositalar yordamida 54%ga ortadi. Zararli maqsad bilan PHP kodini noqonuniy ishga tushurishga urinishlar 10% ga, XSS hujumlari va SQL in’ektsiyalari 7%ga oshishi kutilmoqda.
Zaifliklar:
1. Davlat organlari va boshqa tashkilotlarining qariyb 30 foiziga tegishli veb-resurslari maʼmuriy boshqaruv panellari omma tarafga ochiq bo‘lib, ularda maxfiy kodni ko‘p marotaba urunib kirish hujumlaridan (brute-force) himoya qilish mexanizmlari (captcha) mavjud emas.
2. Davlat idoralari va boshqa tashkilotlar veb-saytlarining 20% ga yaqinida SQL in’ektsiyasi hujumini amalga oshirish uchun zaifliklar mavjud.
3. Davlat idoralari va boshqa tashkilotlar veb-saytlarining 15% ga yaqinida XSS zaifliklari mavjud (saytlararo skript hujumi).
4. Qariyb 12 foizida sayt foydalanuvchisi tomonidan yuklangan fayllar turi bo‘yicha filtrlashning yo‘qligi bilan bog‘liq zaifliklar mavjud.
5. Davlat organlari va boshqa tashkilotlar veb-saytlarining
qariyb 10 foizida maxfiy ma’lumotlarning oshkor etilishi yoki O‘zbekiston Respublikasi fuqarolarining shaxsiy ma’lumotlarining sizib chiqishi bilan bog‘liq zaifliklar mavjud.
6. Davlat organlari va boshqa tashkilotlar veb-saytlarining qariyb 7 foizida eskirgan komponentlar (plaginlar, modullar) va boshqa zaifliklar – 6 foizida.
Shuningdek, milliy kibermakonda quyidagi eng keng tarqalgan, taniqli tanqidiy kiberxavfsizlik zaifliklar aniqlandi:
- CVE -2018-10088 , CVE-2019-0708, CVE-2020-0796.
Ma’lumot uchun: CVE - bu axborot xavfsizligi zaifliklari haqidagi ma’lumotlar bazasi. Har bir zaiflikka CVE-yil-raqami, tavsifi va tasnifi bilan bir qatorda ommaviy havolalar shaklida identifikatsiya raqami beriladi.
CVE -2018-10088 - XiongMai uc-httpd 1.0.0 nomli bufer to'lib ketishi zaifligi bo‘lib u xitoylik ishlab chiqaruvchilarning marshrutizatorlari va boshqa "aqlli" qurilmalarining dasturiy ta'minotida uchraydi.
CVE-2019-0708 - Zaiflik autentifikatsiya qilmagan hujumchiga Windows OTning masofaviy ish stoli xizmatlari (RDP) protokoli orqali hujum qilingan OTda ixtiyoriy kodni masofadan turib bajarishga imkon beradi.
CVE-2020-0796 - Windows SMB xizmati 3.1.1 da masofaviy kodni bajarish imkonini beruvchi zaiflik.
Shu bilan birga, ekspertlar tomonidan o‘tkazilgan xalqaro kibertahdidlar tahlili natijalariga ko‘ra, quyidagi dolzarb tendensiyalar aniqlandi:
1. Tovlamachi dasturini tarqatish (ransomware);
2. Xususiy sektorlarga maqsadli DDoS hujumlarini amalga oshirish;
3. Android OS asosida mobil qurilmalar uchun zararli dasturlarni tarqatish;
4. Internet firibgarlik.
Yuqoridagilarga asoslanib, milliy kibermakondagi kiberxavfsizlik tahdidlari va zaifliklaridan kelib chiqadigan potensial xavflarni minimallashtirish maqsadida davlat organlari va tashkilotlari, telekommunikatsiya tarmoqlari operatorlari va provayderlari quyidagi choralarni ko‘rishlari zarur:
Birinchidan, kiberxavfsizlik tahdidlari va zaifliklarini aniqlash va ularga chora ko‘rish uchun axborot tizimlari va resurslarida doimiy monitoringni o‘rnatish.
Ikkinchidan, axborot infratuzilmasida axborotni himoya qilish dasturiy va apparat-dasturiy vositalarini o‘rnatish, shu jumladan ruxsatsiz kirishdan himoya vositalarini o‘rnatish.
Uchinchidan, faqat litsenziya va sertifikatga ega operatsion tizim, dasturiy taʼminotlar, shuningdek, zararli dasturlardan qidirish, oʼchirib tashlash va ulardan himoya qilish funktsiyalariga ega xavfsizlik plaginlari va antiviruslaridan foydalanish hamda ularni muntazam ravishda yangi versiyalariga yangilab borish.
To‘rtinchidan, axborot va kiberxavfsizlikni ta’minlash uchun mas’ul xodimlarni muntazam ravishda malakasini oshirish, shuningdek, boshqa xodimlarining kibersavodxonligini oshirishini tashkil etish.
Beshinchidan, tashkilot/korxonada yiliga kamida bir marta axborot va kiberxavfsizlik holatini o‘rganish (audit o‘tkazish).