1.6. Buzg‘unchilar tomonidan olinadigan ma’lumot turlari: oshkor qilish, sizib chiqishi, ruxsatsiz kirish

Axborot maxfiyligining buzilishi amaliyotda uchta shaklda namoyon bo‘ladi (1.9-rasm).

Oshkor qilish. maxfiy ma’lumotni ataylab yoki beparvolik natijasida ochiq holatga keltirish. Masalan, xodim tomonidan tijorat sirining ataylab oshkor etilishi yoki maxfiy hujjatning tasodifan umumiy papkaga joylashtirilishi shu turga kiradi.

Sizib chiqish. axborotning unga ishonib topshirilgan tashkilot yoki shaxslar doirasidan nazoratsiz yoki noqonuniy tarzda tashqariga chiqib ketishi. Sizib chiqish ko‘pincha xavfsizlik tizimidagi texnik kamchilik, masalan shifrlanmagan aloqa kanali yoki noto‘g‘ri sozlangan kirish huquqi, natijasida yuzaga keladi.

Ruxsatsiz kirish. tegishli vakolatga ega bo‘lmagan shaxsning axborotdan foydalanishi. Bu parolni buzish, tizimdagi zaiflikdan foydalanish yoki qonuniy foydalanuvchi hisobini egallash orqali amalga oshirilishi mumkin.

Ushbu uch shaklning farqini yaxshiroq tushunish uchun ularni sabab-oqibat zanjiri nuqtai nazaridan ko‘rib chiqish foydali. Oshkor qilishda odatda inson omili yetakchi rol o‘ynaydi, ya’ni ma’lumotni tarqatuvchi shaxsning o‘zi, qasddan yoki beixtiyor, harakat qiladi. Sizib chiqishda esa ko‘pincha texnik jarayon yetakchi o‘rinni egallaydi, ya’ni ma’lumot tizimdagi zaiflik orqali o‘z-o‘zidan chiqib ketadi. Ruxsatsiz kirishda esa buzg‘unchining faol harakati birinchi o‘rinda turadi, ya’ni u ongli ravishda tizimga kirishga urinadi.

Ma’lumot chiqib ketish kanallari to‘g‘ridan-to‘g‘ri va bilvosita turlarga bo‘linadi. Bilvosita kanallardan foydalanish tizim joylashgan binoga jismoniy kirishni talab qilmaydi: bunga axborot tashuvchisining yo‘qolishi, masofadan tinglash yoki elektromagnit nurlanishni ushlab qolish kabi usullar kiradi. To‘g‘ridan-to‘g‘ri kanallardan foydalanish esa bevosita kirishni talab qiladi: bunga insayderning, ya’ni tizimga qonuniy kirish huquqiga ega bo‘lgan xodimning, harakatlari yoki ruxsatsiz nusxa ko‘chirish kiradi. Buzg‘unchining maqsadiga qarab foydalanadigan kanal ham farqlanadi: biznes josusi ko‘pincha insayder orqali, moliyaviy firibgar esa texnik zaiflik orqali harakat qiladi.

Buzg‘unchilar ko‘pincha texnik zaiflikdan emas, balki inson omilidan foydalanadi, chunki inson texnik tizimga qaraganda ancha oson yo‘l ochib berishi mumkin. Bunday usullar majmuasi ijtimoiy muhandislik deb ataladi va u turli psixologik usullar hamda firibgarlik amaliyoti orqali shaxsdan maxfiy ma’lumotni ixtiyoriy ravishda olishga qaratilgan. Ijtimoiy muhandislikning samaradorligi shundaki, u texnik himoya vositalarini butunlay chetlab o‘tadi: eng kuchli xavfsizlik devori ham, agar xodim o‘z parolini o‘zi berib qo‘ysa, foydasiz bo‘lib qoladi. Ushbu usullar odatda insonning tabiiy xususiyatlariga, ya’ni ishonch, qo‘rquv, shoshilinchlik yoki obro‘-e’tiborga bo‘lgan ehtiyojga, tayanadi.

Firibgar xat. inglizcha phishing, eng keng tarqalgan ijtimoiy muhandislik turi bo‘lib, unda buzg‘unchi rasmiy tashkilot, masalan bank, davlat idorasi yoki IT xizmati, nomidan soxta xat yoki veb-sahifa yaratadi va foydalanuvchini o‘z parolini yoki karta ma’lumotini shu yerga kiritishga undaydi. Xatning manzili haqiqiy manzilga juda o‘xshash bo‘ladi, biroq odatda bir yoki ikkita harf bilan farq qiladi.

Nishonli firibgar xat. inglizcha spear phishing, oddiy firibgar xatdan farqli o‘laroq, muayyan shaxs yoki tashkilotga moslashtirilgan bo‘lib, undagi ma’lumotlar, masalan ism, lavozim, hamkasblar, oldindan to‘plangan bo‘ladi. Bu esa xatni ancha ishonarli qiladi va uni oddiy firibgar xatdan farqlashni qiyinlashtiradi.

Bahonasozlik. inglizcha pretexting, buzg‘unchi o‘zini boshqa shaxs, masalan IT bo‘limi xodimi yoki tekshiruvchi, qilib ko‘rsatib, ishonchli bahona ostida maxfiy ma’lumotni so‘raydi.

Yem tashlash. inglizcha baiting, buzg‘unchi jozibali taklif, masalan bepul dastur yozuvli fleshka, qoldirib, foydalanuvchini o‘zi zararli dasturni ishga tushirishga undaydi.

Kuzatib borish. inglizcha tailgating, buzg‘unchi qulflangan eshikdan qonuniy xodim ortidan, undan ruxsat so‘ramasdan, kirib olishi. Bu usul texnik emas, sof jismoniy xavfsizlik zaifligidan foydalanishga asoslangan.

TexnoServis misolida buzg‘unchi Dilnozaga IT bo‘limidan deb qo‘ng‘iroq qilib, tizimni yangilash uchun uning parolini so‘rashi mumkin. Bu holat bahonasozlikning yaqqol namunasi hisoblanadi. Muhim qoida shundaki, hech qanday qonuniy IT xizmati parolni telefon orqali so‘ramaydi, shu sababli bunday so‘rovni har doim rad etish to‘g‘ri javob hisoblanadi. Xodimlarni bunday hujumlarni tanib olishga o‘rgatish texnik vositalar qadar muhim himoya chorasi bo‘lib, chunki ijtimoiy muhandislik aynan inson ishonchidan foydalanadi, texnik nuqsondan emas.