---
title: 'Xavfsizlik mexanizmlari va texnologiyalari'
section: 'Concepts'
weight: 1
description: Platforma xavfsizligiga qatlamli yondashuv — jismoniy, tarmoq, OT, ilova va maʼlumotlarni saqlash qatlamlari hamda har bir darajada amalga oshirilgan mexanizmlar.
related:
  - security/data-security
  - security
  - operations/backup-and-restore
  - eu-compliance
---

import Alert from '@/components/docs/Alert.astro';

Zamonaviy tizimlar xavfsizlikka qatlamli yondashuvni talab qiladi: bunda har bir qatlam oʻziga xos vazifalarni bajaradi va boshqalari bilan oʻzaro taʼsirlashib, [yaxlit xavfsizlik tizimini yaratadi](#implemented-security-mechanisms). Keling, asosiy qatlamlarni, ularning mexanizmlari va texnologiyalarini hamda ularni joriy etishning ilgʻor amaliyotlarini koʻrib chiqamiz.

## Tizim xavfsizligi darajalari

### Jismoniy qatlam

<Alert type="info">
  Jismoniy xavfsizlik butun himoya tizimining asosidir. U apparat resurslari va infratuzilmaga
  ruxsatsiz kirishning oldini olishga qaratilgan.
</Alert>

- **Server xonalari va maʼlumotlar markazlari:**
  Uskunalar koʻp darajali kirish nazorati tizimlariga ega xavfsiz maʼlumotlar markazlarida joylashtirilishi kerak: biometrik autentifikatsiya, RFID kartalar va videokuzatuv. Xonalar yongʻin oʻchirish, iqlimni nazorat qilish va kuchlanish tebranishlaridan himoya vositalari bilan jihozlangan boʻlishi lozim.
- **Perimetr himoyasi:**
  Jismoniy toʻsiqlar (masalan, ikki qavatli eshik qulflari), harakat datchiklari va 24/7 qoʻriqlash qoʻllaniladi. Muhim obyektlar uchun «chuqurlikdagi himoya» tamoyili amal qiladi — zaifliklarni muntazam audit qilib turadigan koʻp qatlamli xavfsizlik.
- **Infratuzilmaning zaxiralanishi:**
  Xavf-xatarlarni minimallashtirish uchun zaxira quvvat manbalari (UPS, generatorlar), takrorlangan aloqa kanallari va taqsimlangan maʼlumotlar markazlari (geografik izolyatsiya) ishlatiladi.

### Tarmoq qatlami

Bu qatlam maʼlumotlar uzatish xavfsizligini taʼminlaydi, tarmoq resurslariga hujumlarning oldini oladi va trafikni nazorat qiladi.

- **Tarmoqlararo ekranlar (firewall):**
  Zamonaviy NGFW (Next-Generation Firewalls) trafikni ilova darajasida tahlil qilib, shubhali sessiyalarni bloklaydi. Masalan, Tor tarmogʻiga chiquvchi ulanishlarni rad etish yoki tizim ishlatmaydigan portlarni bloklash qoidalarini sozlash mumkin.
- **DDoS hujumlaridan himoya:**
  Bulutli xizmatlar (masalan, Cloudflare) anomal naqshlarni tanib, trafikni filtrlaydi. Mahalliy yechimlarga soʻrovlar tezligini cheklash (rate limiting) va blackhole-marshrutlash kiradi.
- **Tarmoqni segmentlash:**
  Tarmoqlar VLAN, DMZ va izolyatsiyalangan quyi tarmoqlarga boʻlinadi. IoT qurilmalari uchun maxsus APN (Access Point Names) qoʻllaniladi: bu ularni korporativ trafik bilan oʻzaro taʼsirlashishidan saqlaydi.
- **Hujumlarni aniqlash va oldini olish tizimlari (IDS/IPS):**
  Snort yoki Suricata kabi vositalar paketlarni real vaqtda tahlil qilib, imzolar va xulq-atvor anomaliyalari asosida hujumlarni bloklaydi. SIEM tizimlari (masalan, Splunk) bilan integratsiya avtomatlashtirilgan javob choralarini koʻrish imkonini beradi.
- **Trafikni shifrlash:**
  Zamonaviy shifrlar (AES-GCM, ChaCha20) bilan TLS 1.3 dan majburiy foydalanish. VPN uchun eskirgan PPTP/L2TP oʻrniga WireGuard yoki IPsec protokollari tavsiya etiladi.

### Operatsion tizim qatlami

OT xavfsizligi qatʼiy konfiguratsiya, oʻz vaqtida yangilanishlar va jarayonlarni izolyatsiya qilish orqali taʼminlanadi.

- **Konteynerlashtirish (Docker, Kubernetes):**
  Har bir xizmat cheklangan huquqlarga ega izolyatsiyalangan konteynerda ishlaydi. Masalan, veb-serverga tizim fayllariga kirish huquqi boʻlmagan alohida foydalanuvchi ajratiladi.
- **Mandatory Access Control (MAC) modullari:**
  - **SELinux:** Imzosiz ikkilik fayllarning bajarilishini oldini olish uchun yorliqqa asoslangan siyosatlarni amalga oshiradi.
  - **AppArmor:** Ilovalarni profillab, ularning fayl tizimiga kirishini cheklaydi.
- **Audit va monitoring:**
  Auditd yoki Osquery kabi vositalar muhim fayllardagi (masalan, /etc/passwd) oʻzgarishlarni kuzatib boradi. Loglarni tahlil qilish uchun ELK steklari (Elasticsearch, Logstash, Kibana) yoki Grafana ishlatiladi.
- **Yangilanishlar va tuzatmalar:**
  unattended-upgrades (Linux) yoki WSUS (Windows) kabi utilitalar orqali avtomatlashtirish. Muhim tizimlar uchun yangilanishlarni avval staging muhitida sinab koʻring.

### Ilova qatlami

Ilova xavfsizligi oʻrnatilgan mexanizmlar va ishlab chiqish standartlariga rioya etishning uygʻunlashuvini talab qiladi.

- **Autentifikatsiya va avtorizatsiya:**
  - OTP, U2F kalitlari yoki biometriya orqali koʻp omilli autentifikatsiya (MFA).
  - Delegatsiyalangan kirish uchun OAuth 2.0/OpenID Connect ni amalga oshirish.
  - Eng kam imtiyoz tamoyiliga ega RBAC (rolga asoslangan kirish nazorati).
- **Veb-hujumlardan himoya:**
  - **CSRF:** Kriptografik xavfsiz algoritmlar (HMAC-SHA256) yordamida token generatsiyasi.
  - **XSS:** DOMPurify kabi kutubxonalar orqali kiritilgan maʼlumotni tozalash hamda `default-src 'self'` direktivasi bilan CSP ni amalga oshirish.
  - **SQL inyeksiyalari:** ORM (Hibernate, SQLAlchemy) yoki tayyorlangan soʻrovlardan (prepared statements) foydalanish.
- **Xavfsiz ishlab chiqish (DevSecOps):**
  Zaifliklarni skanerlovchilarni (OWASP ZAP, SonarQube) CI/CD quvuriga integratsiya qiling. Muntazam pentestlar va kod koʻriklarini oʻtkazing.

### Maʼlumotlarni saqlash qatlami

Maʼlumotlarning maxfiyligi, yaxlitligi va mavjudligini taʼminlang.

- **Shifrlash:**
  - **Saqlanayotganda:** AES-256 bilan LUKS (Linux) yoki BitLocker (Windows) dan foydalanish.
  - **Uzatilayotganda:** Serverlar va mijozlar oʻrtasida uzatish uchun TLS.
  - **Kalitlar:** Apparat HSM (Hardware Security Module) yoki bulutli KMS (AWS KMS, HashiCorp Vault) da saqlash.
- **Zaxira nusxalash:**
  3-2-1 strategiyasi: 3 nusxa, 2 xil tashuvchida, 1 nusxa boshqa joyda. BorgBackup yoki Veeam orqali avtomatlashtirish.
- **Kirish nazorati:**
  - **RBAC/ABAC:** Foydalanuvchi atributlari (lavozim, joylashuv) asosida huquqlarni dinamik boshqarish.
  - **Audit:** Barcha amallarni (CREATE, UPDATE, DELETE) qayd etish va SIEM ga integratsiya.

<Alert type="note">
  Koʻp qatlamli xavfsizlik faqat texnologiyani joriy etishni emas, balki doimiy monitoring,
  xodimlarni oʻqitish va yangi tahdidlarga moslashishni ham talab qiladi. Muntazam auditlar,
  standartlardan (ISO/IEC 27001, NIST) foydalanish va jarayonlarni avtomatlashtirish uzoq muddatli
  barqarorlikning kalitidir.
</Alert>

## Amalga oshirilgan xavfsizlik mexanizmlari

### Tarmoq qatlami xavfsizligi

- Ruxsatsiz ulanishlarni bloklash uchun **kiruvchi va chiquvchi trafikni filtrlash** sozlanadi. Xavfsizlikni oshirish uchun tizimga kirishni ishonchli IP-manzillar bilan (internet orqali) yoki faqat VPN orqali ulanishlar bilan cheklash tavsiya etiladi.
- Telemetriya (IoT) qurilmalarining SIM-karta sozlamalarida **maxsus APN dan foydalaning**. Bu qurilmalarni umumiy internet trafigidan izolyatsiya qiladi va maʼlumotlar himoyasini oshiradi.
- Veb-interfeysga kirish **HTTPS protokoli** (TLS/SSL sertifikatlari) orqali amalga oshiriladi, bu esa mijoz va server oʻrtasidagi trafikni shifrlaydi.

### Operatsion tizim qatlami himoyasi

- **Jarayonlarni izolyatsiya qilish** tizim nosozliklari va buzib kirishlarga chidamlilikni oshiradi. IoT serverida tizimning har bir qismi Docker konteynerlashtirish yordamida izolyatsiya qilinadi. Konteynerlashtirish tizimning turli qismlarini bir-biridan ajratib turadi, bu esa hujumlar va nosozliklardan boʻladigan mumkin boʻlgan zararni minimallashtiradi.

- AppArmor, SELinux yoki Parsec modullaridan foydalanish (ixtiyoriy). **Xavfsizlik modullari** operatsion tizim darajasida qoʻshimcha himoya taʼminlab, kirish nazoratini kuchaytiradi va tizimda istalmagan amallarning oldini olishga yordam beradi.
  - **Siyosatni moslashtirish**: muhim resurslarga kirishni cheklash uchun qatʼiy xavfsizlik siyosatlarini yarating.
  - **Xavfsizlik auditi**: shubhali faollikni aniqlash uchun loglarni muntazam tahlil qiling.

### Ilova qatlami himoyasi

- Tizimning veb-qismi **Cross-Site Request Forgery (CSRF)** kabi hujumlardan himoyalangan. Oʻrnatilgan mexanizmlar har bir forma uchun noyob token generatsiya qilib, soʻrovni soxtalashtirishning oldini oladi. Shuningdek, SameSite cookie atributlari va Referer tekshiruvlari ham qoʻllaniladi.

- Tizimda **Cross-Site Scripting (XSS)** hujumlaridan oʻrnatilgan himoya mavjud, jumladan zararli JavaScript kodi kiritilishining oldini olish uchun foydalanuvchi kiritgan maʼlumotni filtrlash.
  - Content Security Policy (CSP): skriptlar va boshqa resurslar yuklanishi mumkin boʻlgan manbalarni cheklash uchun siyosatlarni sozlash.
  - Maʼlumotlarni ekranlash: foydalanuvchi kiritgan maʼlumotdagi HTML, CSS va JavaScript ni avtomatik ekranlash.

- Maʼlumotlar bazasi bilan oʻzaro taʼsir **ORM moduli** yordamida amalga oshiriladi, u SQL inyeksiyasidan oʻrnatilgan himoyaga ega (ixtiyoriy SQL kodini bajara olmaydi), shuningdek shubhali faollikni aniqlash uchun soʻrovlarni qayd etadi.

### Maʼlumotlarni saqlash qatlami himoyasi

- **Maʼlumotlarni shifrlash:** diskdagi va uzatilayotgan maʼlumotlarni himoya qilish uchun shifrlash algoritmlaridan (masalan, AES-256) foydalanadi.

- **Zaxira nusxalash:** maʼlumotlar muntazam ravishda zaxiralanadi va xavfsiz xotirada saqlanadi.

- **Kirish nazorati:** Rolga asoslangan kirish nazorati (RBAC) va xotiradagi barcha maʼlumot amallarini audit qilish qoʻllaniladi.