Sizib chiqqan parol — o’sadigan raqam emas, holat

Sizishlar bo’yicha ko’pchilik hisobot bitta sonni ko’rsatadi: topilgan credential’lar soni. Bu son har oy o’sadi, chunki eski dumplar qayta-qayta muomalaga chiqadi va bitta parol beshta turli combolistda uchraydi.

Sabab bozor tuzilishida. «Collection #1» kabi to’plamlar o’nlab eski sizishlardan yig’ilgan va ular hali ham yangi nom ostida qayta tarqatiladi. Telegram kanallarida esa bitta fayl har bir qayta joylashda yangi sana oladi. Ya’ni o’sish razvedka yaxshilanganini emas, qayta o’ramning tezligini o’lchaydi.

Natijada uch oydan keyin sizda 11 000 raqami bor, lekin siz bilmaysiz: bulardan nechtasi bugun ham ochiq? Nechtasi allaqachon almashtirilgan? Raqam o’sgani sizning xavfingiz o’sganini anglatadimi?

Javob — yo’q. Faqat o’sadigan ko’rsatkich boshqaruv vositasi bo’la olmaydi, chunki hech qanday harakat uni pasaytira olmaydi. Siz nima qilsangiz ham grafik yuqoriga qarab ketaveradi, va bir yildan keyin hech kim unga qaramaydi.

Sizish hodisa emas, holat. Har bir topilma to’rt holatdan birida bo’ladi: yangi topilgan, aktiv risk, hal qilingan, arxivlangan. Va u faqat bitta yo’nalishda harakatlanadi.

Shunda ko’rsatkich o’zgaradi: umumiy son o’rniga «aktiv risk» soni chiqadi. U kamayishi mumkin — va aynan shuning uchun undan foyda bor. Bu boshqaruv kengashi tushunadigan yagona raqam, chunki u qilingan ishga javob beradi.

Bu shunchaki hisobot bezagi emas. Holat mashinasi ishning kimda turganini ham belgilaydi: yangi topilma tahlilchida, aktiv risk IAM jamoasida, hal qilingan esa arxivda. Holatsiz ro’yxatda hech kim javobgar emas, va aynan shuning uchun hech narsa yopilmaydi.

Holatlar orasidagi o’tish ham qayd etilishi kerak — kim, qachon, nima asosda. Aks holda «hal qilindi» belgisi qo’lda qo’yiladigan va hech kim tekshirmaydigan bayroqqa aylanadi.

Yangi combolist paydo bo’lganda birinchi savol «bu bizniki emasmi» degan savol emas. Birinchi savol — «bu yangimi, yoki 2019-yilgi dumpning qayta o’ralgan nusxasimi».

Agar credential allaqachon almashtirilgan bo’lsa, uning qayta paydo bo’lishi hodisa emas — shovqin. Shu tekshiruvsiz tizim har chorakda bir xil parollar uchun bir xil alertni qayta yuboradi va analitik o’qishni to’xtatadi. Bu esa haqiqiy yangi topilma kelganda uni ham o’qimaslikka olib keladi.

Texnik jihatdan bu qiyin emas: har topilma uchun barqaror identifikator saqlanadi — odatda manzil va parol hashining birikmasi — va yangi kelgan yozuv shu bo’yicha solishtiriladi. Parolning o’zini saqlash shart emas va saqlanmasligi kerak ham.

Qiyin joyi — buni mahsulotning boshidanoq qilish. Keyin eski ma’lumot bilan bog’lash uchun manba qolmaydi: sizda faqat sonlar bo’ladi, va ular qaysi topilmaga tegishli ekani noma’lum.

Xabar berish — hal qilish emas. Sizgan parol yopilgan hisoblanadi, faqat uchta narsa bajarilganda: parol reset qilindi, faol sessiyalar bekor qilindi va o’sha hisob uchun ko’p faktorli autentifikatsiya majburiy bo’ldi.

Sessiyani bekor qilmaslik — eng ko’p uchraydigan xato. Parol almashtirilgan, lekin hujumchining ochiq sessiyasi ishlab turaveradi. Bu ilova dizaynining tabiiy oqibati: refresh token yoki uzoq muddatli cookie parol o’zgarganini o’zi bilmaydi, agar tizim uni ataylab bekor qilmasa.

Amalda buning uchun aniq amallar bor va ular hujjatlashtirilgan: Microsoft Entra ID da `Revoke-MgUserSignInSession`, Google Workspace da foydalanuvchi sessiyalarini tiklash, o’z ilovangizda esa refresh token’lar jadvalidagi yozuvlarni o’chirish. Agar bu amal ro’yxatda bo’lmasa, u bajarilmaydi.

Shuning uchun «hal qilindi» belgisini qo’yish huquqi qo’lda emas, tizim tomonidan berilishi kerak: uchala amal ham qayd etilganda holat o’zi o’zgaradi. Odam qo’yadigan bayroq har doim optimistik bo’ladi.

Xodim credential’i sizib chiqsa, sizda uni yopish uchun to’liq huquq bor: katalogda parolni almashtirasiz, sessiyani bekor qilasiz, MFA yoqasiz. Bu bir necha daqiqalik ish va u kelishuvni talab qilmaydi.

Mijoz credential’i bilan bunday emas. Uni majburan reset qilish qo’llab-quvvatlash markaziga yuk keltiradi va bir qism mijozni yo’qotadi — ayniqsa parolni tiklash pochta orqali bo’lsa va o’sha pochta ham o’sha dumpda bo’lsa.

Shuning uchun bu yerda odatda bosqichli chora ishlatiladi: kirishda qo’shimcha tekshiruv, keyin ogohlantirish, keyin majburiy almashtirish. Birinchi bosqich eng arzon va eng samarali — chunki credential stuffing avtomatik bajariladi, va qo’shimcha bitta qadam avtomatlashtirishni buzadi.

Ikkalasi bitta ro’yxatda turishi mumkin, lekin bitta siyosat ostida turolmaydi. Hisobot ularni ajratmasa, u operatsion emas — chunki ikkala guruh uchun ham bajariladigan yagona harakat yo’q.

Combolist’larning katta qismi tozalanmagan va takrorlanadigan ma’lumot. Ularda mavjud bo’lmagan pochta manzillari, boshqa domenlardan aralashib ketgan yozuvlar va oddiy generatsiya qilingan qatorlar uchraydi.

Shuning uchun topilma domenga tegishli ekani tasdiqlanishi kerak: manzil sizning katalogingizda bormi, u faol hisobmi, qachon oxirgi marta kirgan. Bu tekshiruvsiz ro’yxatning yarmi mavjud bo’lmagan xodimlardan iborat bo’ladi — ishdan ketganlar, tarqatma manzillar, test hisoblari.

Ikkinchi filtr — parolning o’zi. Agar sizib chiqqan parol sizning joriy siyosatingizga umuman mos kelmasa (uzunligi yetmaydi, faqat raqamlardan iborat), ehtimol u eski tizimdan yoki umuman boshqa xizmatdan kelgan. Bu topilmani bekor qilmaydi, lekin ustuvorlikni pasaytiradi.

Uchinchisi — infostealer loglari. Ular combolist’dan sifat jihatdan boshqacha: ular qurilmadan olingan, ya’ni cookie va sessiya tokenlari ham birga ketgan bo’lishi mumkin. Bunday topilmada parolni almashtirish yetarli emas — qurilmaning o’zi ishonchsiz hisoblanadi.

Sizishda asosiy o’lchov soni emas, tezligi. Credential ochiq muomalada bo’lgan har bir soat — bu boshqa joyda sinab ko’rish uchun berilgan vaqt, chunki odamlar parolni bir necha xizmatda takrorlaydi.

Shuning uchun ikkita vaqt o’lchanadi: topilmagacha o’tgan vaqt va yopilgunga qadar o’tgan vaqt. Birinchisi razvedka sifatini, ikkinchisi ichki jarayon sifatini ko’rsatadi, va ularni aralashtirish mumkin emas — biri sotuvchiga, ikkinchisi sizga tegishli.

Birinchi vaqtni o’lchash uchun manbaning e’lon sanasi kerak, va u har doim ham aniq bo’lmaydi. Shuning uchun amaliy o’lchov — «kanalda paydo bo’lgandan bizning panelda ko’ringunga qadar» — bu tekshiriladigan va sotuvchi javob beradigan raqam.

Bu ikki raqam «11 000» dan ko’ra ko’proq narsa aytadi va ikkalasi ham yaxshilanishi mumkin — ya’ni ularni maqsad qilib qo’yish mumkin. Faqat o’sadigan raqamni maqsad qilib bo’lmaydi.

Sotuvchi «biz N ta sizish topdik» desa, uchta savol bering. Bulardan nechtasi hozir aktiv risk? Qayta chiqqan eski dumplarni qanday ajratasiz? Katalog yoki IAM bilan integratsiya bormi, ya’ni yopish siz tomondan bo’ladimi yoki menikimi?

To’rtinchi savol hisobot haqida: aktiv risk soni oxirgi uch oyda kamaydimi? Grafikni ko’rsating. Agar u faqat o’sgan bo’lsa, demak yopish jarayoni umuman ishlamayapti yoki o’lchov noto’g’ri qo’yilgan — ikkalasi ham bilib qo’yishga arziydi.

Beshinchisi ma’lumot haqida: siz topilgan parollarni saqlaysizmi? To’g’ri javob — yo’q, faqat hash yoki qisman ko’rinish. Aks holda sotuvchi sizning credential bazangizni yig’ib boryapti, va u ham sizib chiqishi mumkin.

Uchalasiga aniq javob bo’lmasa, siz xizmat emas, feed sotib olyapsiz. Feed foydali bo’lishi mumkin — lekin uni holat mashinasiga o’zingiz aylantirishingiz kerak bo’ladi, va bu ish sotib olish qarorida hisobga olinmagan bo’ladi.