Perimetrni yopadigan 17 ta imkoniyat
Tizim nima yig‘adi, qanday agregatsiya qiladi, analitikga nimani ko‘rsatadi — to‘liq texnik tahlil. Marketing umumlashtirishlarsiz.
Yashirin Windows-agent
Foydalanuvchi uchun butunlay ko‘rinmas xizmat. services.msc da oddiy tizim xizmati sifatida ro‘yxatdan o‘tadi, oynasiz, tray belgisiz, ravshan nomli jarayonsiz. OS yuklanishida avto-start.
- Binariy hajmi ≈ 4 MB, RAM iste‘moli < 40 MB
- MSI / Inno Setup / GPO / SCCM orqali deploy
- Authenticode imzosi — SmartScreen ishlamaydi
Screenshot va ekran qabul qilish
JPEG q=60 da ish stoli kadrlar, sozlanadigan chastota bilan. Multi-monitor qo‘llab-quvvatlanadi. Og‘ir trafik buferlanadi va batch‘da yuboriladi.
- Interval 60–300 soniya (siyosat)
- Aloqa uzilganda mahalliy navbat
- S3 / Azure Blob / on-premise MinIO
Clipboard tahlili
Sezgir ma‘lumotlarning real-time detection regex va lug‘atlar bo‘yicha: karta raqamlari PAN (Luhn-validatsiyasi bilan), INN/PINFL, SWIFT, IBAN, email, file-share havolalar, parollar va API-tokenlar.
- Qiymatni maskalash (SHA-256 hash, oxirgi 4 belgi)
- O‘z lug‘at va regex‘lar siyosatlar orqali
- AD/OU guruh granulyarligi
USB qurilmalar va vositalar
WMI orqali Win32_DeviceChangeEvent obuna. Har bir fleshkani VID/PID/Serial bo‘yicha hisobga olish. Siyosatlar: o‘qishga ruxsat, yozishni taqiqlash, to‘liq blok, oq ro‘yxat.
- USB‘ga ko‘chirilgan fayl karantini
- Jurnal serverda, hostda emas
- SOC‘ga signal < 5 soniyada
Tarmoq monitoring
Har 60 soniyada agent barcha ESTABLISHED-ulanishlarni oladi va jarayonni identifikatsiya qiladi. Backend‘da domenlar kategoriyalar bo‘yicha klassifikatsiya qilinadi.
- File-share domenlar uchun avto-flag risk=high
- GeoIP boyitish
- Clipboard va screenshot bilan korrelyatsiya
Jarayonlar va dasturlar
Har 30 soniyada top-jarayonlar snapshoti: CPU%, RAM, exe yo‘li, command line, ota-jarayon. Tanilgan 'xavfli' dasturlar avtomatik belgilanadi.
- Har bir yangi binariyning SHA-256 hash‘i
- %TEMP%‘dan binariy ishga tushganda signal
- Siyosatlar UI orqali o‘z signaturalari
Chop etish va printerlar
Win32_PrintJob intercept: hujjat nomi, sahifalar soni, printer, foydalanuvchi va vaqt. Ixtiyoriy — keyingi tahlil uchun spool‘ni PDF‘ga saqlash.
- Ish soatlaridan tashqari > N sahifa chop etilsa signal
- Domen / IP‘dan tarmoq printeriga yozish
Brauzer va faol oyna
GetForegroundWindow + GetModuleBaseName orqali joriy oyna va sarlavhasi aniqlanadi. Chrome, Edge, Firefox, Opera uchun sarlavhalardan URL topiladi.
- Smen davomida top domenlar / kategoriyalar
- “Ko‘ngilochar” kategoriyalardagi vaqt
- Korporativ ilovalarga sarflangan vaqt
Foydalanuvchi identifikatsiyasi
GetUserNameEx orqali hodisalarni domen akkauntiga bog‘lash. Foydalanuvchini almashtirish yoki RDP bilan aldab bo‘lmaydi — har bir sessiya alohida kuzatiladi.
- AD / LDAP / Keycloak integratsiyasi
- Guruhlar va rollar avtomatik import qilinadi
Xavf skoring
Har bir hodisa siyosat va xulq-atvor evristikalariga ko‘ra 0–100 risk-score oladi. Top-N xavfli xostlar har doim asosiy konsolda.
- Siyosat og‘irliklari sozlanadi
- Xodim bo‘yicha skoring tarixi
- 24 soat / 7 kun trendlari va anomaliyalar
Cross-search va palitra
Konsolda Ctrl+K — xostlar, hodisalar, foydalanuvchilar, siyosatlar bo‘yicha bitta qidiruv. Analitik 5 ta tab almashtirmasdan kerakli hodisani 2 soniyada topadi.
- Clipboard matni bo‘yicha to‘liq matnli qidiruv
- Teglar va metama‘lumotlar bo‘yicha filtrlar
Hodisalar va SLA
Har qanday anomaliya statusi bilan hodisaga aylanadi. Analitik tayinlash, eslatmalar, harakatlar tarixi, PDF hisobot eksport — hammasi konsol ichida.
- Ack / resolve / false-positive
- Email/Telegram bildirishnomalar
- Analitik harakatlari audit-log
Kanal himoyasi
Sertifikat pinning bilan HTTPS. Agent X-Agent-Token bilan autentifikatsiya qiladi. Analitik — JWT + refresh-token + ixtiyoriy TOTP. WebSocket connect‘da qayta avtorizatsiya.
- Nginx/Caddy‘da TLS-terminatsiya
- Authenticode binariy imzo
- Konsolga reverse-proksi mumkin
On-premise saqlash
Telemetriya “uyga” yo‘q — barcha ma‘lumotlar sizning perimeteringizda qoladi. Metama‘lumotlar uchun PostgreSQL va screenshot/spool uchun MinIO.
- Air-gapped o‘rnatish
- Backup va replikatsiya DBMS bilan
- Tashqi SaaS bog‘liqliklar yo‘q
Rol modeli
Huquqlarni chegaralash: analitik-kuzatuvchi / analitik-tekshiruvchi / siyosat administratori / audit. Konsoldagi har bir harakat alohida log‘ga yoziladi.
- Rollar uchun AD/SSO integratsiyasi
- Kritik harakatlar uchun “4 ko‘z” prinsipi
Siyosatlar va shablonlar
Tayyor siyosat shablonlari: “bank siri”, “shaxsiy ma‘lumotlar”, “tijorat siri”, “masofaviy kirish”. AD/OU guruhlari bo‘yicha qo‘llaniladi.
- Siyosatlarning versiyalanishi
- Kichik guruhda siyosatning A/B testi
API va integratsiyalar
REST API + WebSocket SIEM (Splunk, ELK, ArcSight), SOAR, ticket‘larga integratsiya uchun. Kritik hodisalar uchun webhook‘lar.
- CEF syslog eksport
- Webhook → Telegram / Email / MS Teams
Hozir nima ustida ishlamoqdamiz
Screenshot ichida OCR
JPEG kadri ichidagi matn bo‘yicha qidiruv. Tesseract yoki PaddleOCR mahalliy modeli.
Xulq-atvor anomaliyalari
Xodimning “oddiy kuni”ni joriy kun bilan taqqoslash. False-positive kamayadi.
Email/Outlook kollektor
Ilovalar va body intercept. Exchange uchun SMTP-trap.
macOS-agent
Dizaynerlar va rahbariyatning ish stansiyalari uchun beta.
Linux-agent
DB serverlar va DBA АРМ uchun.
Bularning barchasini amalda ko‘rmoqchimisiz?
Demoni so‘rang — menejer bizning stendda muayyan kollektorlar va hodisalarni ko‘rsatadi.