Korxona darajasidagi pochta xavfsizligi shlyuzi
HSMG tashkilotning kiruvchi va chiquvchi elektron pochtasini himoya qiladi. U SMTP oqimiga ulanadi, har bir xatni to’qqiz mustaqil dvigatel bilan skanerlaydi va aniq qaror qabul qiladi: yetkazish, belgilash, karantin yoki rad etish.
Ko’pchilik shlyuz shubhali holatda xatni o’tkazib yuboradi: skaner ishlamadi, fayl ochilmadi, timeout bo’ldi — xat “toza” deb belgilanadi va yetkaziladi. Bu qulay, lekin aynan shu yo’l bilan bitta xat butun tarmoqni ochadi.
HSMG teskari tomonni tanlaydi — fail-closed. Yadro ishlamay qolsa yoki fayl ochib bo’lmasa, xat vaqtincha rad etiladi (SMTP 451) yoki karantinga olinadi. Bank va davlat sektorida bu ma’lumot yo’qotish xavfini keskin kamaytiradi.
Ikkinchi tamoyil — Fusion. Bitta zaif signal o’zi blok keltirmaydi; bir nechta zaif signal birlashib kuchli qaror beradi. Bu “ikki-kalit” yondashuvi noto’g’ri-ijobiy (false positive) darajasini keskin kamaytiradi.
| Qaror | Qachon qo’llaniladi |
|---|---|
| Deliver | Toza xat — o’zgarishsiz yetkaziladi |
| Tag | Zaif shubha — belgilanadi (mavzu/sarlavha), yetkaziladi |
| Greylist | Reputatsiya noaniq — vaqtincha kechiktiriladi |
| Quarantine | Kuchli shubha — karantin (HOLD + .eml) |
| Reject / Defer | Aniq tahdid yoki skaner nosozligi — 5xx rad / 451 defer |
Biznes-pochta kompromissi ko’pincha zararli ilova yoki havolasiz bo’ladi — faqat ishonchli shaxs nomidan yozilgan matn. Bunday hujum imzo bilan ushlanmaydi.
| Qatlam | Nima tekshiriladi |
|---|---|
| Autentifikatsiya | SPF, DKIM, DMARC va ARC — domen-soxtalashtirish va soxta jo’natuvchi. Chiquvchi xatlar per-domen kalit bilan DKIM imzolanadi |
| BEC / CEO-firibgarlik | Yettita xulq-vektor uch tilda: display-name taqlidi, lookalike domen, Reply-To nomuvofiqligi, yangi VIP-jo’natuvchi, shoshilinchlik leksikoni, rekvizit o’zgarishi, birinchi-kontakt moliyaviy so’rov |
| VIP va impersonatsiya | Rahbariyat, moliya va kadrlar uchun ism → haqiqiy manzil jadvali; Active Directory guruhlaridan avtomatik sinxronlanadi |
| URL tahlili | Havolalar ochilmasdan tahlil qilinadi: typosquatting, homoglyph, qisqartiruvchilar, Base64-yashirin havolalar, TLS’siz login-sahifalar, redirect zanjiri oxirigacha |
| QR-kod | Rasm va PDF ichidagi QR-kodlar dekodlanadi va undagi URL to’liq URL-tahlildan o’tkaziladi — an’anaviy matn-filtrlar ko’rmaydigan «quishing» |
| OCR va parolli hujjatlar | Rasmga aylantirilgan matn, parol va URL ajratib olinadi; parol xat matnidan topilib hujjat ochiladi va ichi qayta skanerlanadi |
DLP moduli chiquvchi oqimda maxfiy ma’lumotni aniqlaydi va uning tashkilotdan ruxsatsiz chiqib ketishini to’sadi. Har bir ekstraktor naqsh bilan birga nazorat-tekshiruvidan foydalanadi — shu bois noto’g’ri-ijobiy darajasi past.
| Ekstraktor | Ma’lumot turi | Tekshiruv |
|---|---|---|
| Bank karta (PAN) | 13–19 raqamli karta raqami | Luhn algoritmi |
| PINFL (JShShIR) | Jismoniy shaxs identifikatori | Format + nazorat-raqam |
| INN / STIR | Soliq to’lovchi raqami | Format tekshiruvi |
| Pasport | Seriya va raqam | Naqsh (AA1234567) |
| IBAN | Xalqaro hisob raqami | MOD-97 nazorati |
| CVV | Karta xavfsizlik kodi | Kontekst + PAN yaqinligi |
| EXPIRY | Karta amal qilish muddati | MM/YY naqsh + kontekst |
| SWIFT / BIC | Bank identifikatori | 8/11 belgi formati |
Standart sakkiztadan tashqari operator tashkilotga xos naqshlarni qo’shishi mumkin — ichki shartnoma raqami, mijoz ID yoki maxfiy loyiha kodi. Karantindagi xat va forensik nusxada maxfiy ma’lumot avtomatik maskalanadi: operator dalilni ko’radi, lekin raqamning to’liq qiymatini emas.
HSMG hech qanday ma’lumotni tashqi bulut xizmatlariga yubormaydi. Imzo bazalari, qoidalar va indikatorlar internetga chiqmasdan offline yangilanadi.
| Nazorat | Qanday amalga oshirilgan |
|---|---|
| Air-gap tarmoq | Aniqlash yadrolari faqat ichki tarmoqda; tashqi NAT yoki gateway yo’q, internetga chiquvchi yangilash modullari o’chirilgan |
| Ikki qatlamli firewall | Host va forward darajasida; tashqariga faqat to’rt port ochiq — SSH, panel, SMTP :25 va submission :587 |
| Offline yangilanish | Imzolar, YARA qoidalari, URL-reputatsiya va IOC feed’lari tashuvchi vosita yoki rejali sinxronizatsiya orqali yetkaziladi |
| Nol tashqi telemetriya | Fayl, namuna yoki metama’lumot vendor bulutiga yuborilmaydi |
| Ma’lumot rezidentligi | Barcha xat, karantin va jurnal mahalliy infratuzilmada saqlanadi — MB 3669 va lokal saqlash talablariga mos |
| Detonatsiya izolyatsiyasi | Sandbox guest’i fizik tarmoqqa marshrutlanmaydi; har detonatsiyadan keyin toza snapshotga qaytadi |
Shlyuz korporativ pochta infratuzilmasi oldida joylashadi va SMTP oqimiga MTA-milter sifatida ulanadi. Uch o’rnatish rejimi bor.
| Rejim | Qanday ishlaydi |
|---|---|
| MTA (inline) | Oqimga to’g’ridan-to’g’ri kiradi va qaror qabul qiladi — to’liq himoya rejimi |
| SPAN / TAP | Passiv kuzatuv — oqimga aralashmaydi, faqat aniqlaydi va hisobot beradi |
| BCC (jurnal-nusxa) | Xat nusxasi bo’yicha kuzatish — joriy shlyuzni almashtirmasdan sinash uchun |
Tashqi tomonga faqat SMTP :25, submission :587, panel va SSH ochiladi; milter, ICAP va nativ AV portlari ichki tarmoqda qoladi. Boshqaruv paneli uch tilda (o’zbek / rus / ingliz), RBAC va markaziy audit bilan; Active Directory, LDAP va SSO qo’llab-quvvatlanadi. Verdikt va hodisalar SIEM’ga uzatiladi, NDR va EDR bilan korrelyatsiya qilinadi.
Yo’q. HSMG pochta serveri emas — u uning oldida turadigan filtr shlyuzi. Xat HSMG’dan o’tib, keyin sizning Exchange yoki boshqa backend’ingizga yetkaziladi.
Ha. SPAN/TAP rejimi oqimga umuman aralashmaydi — faqat kuzatadi va nimani ushlagan bo’lardi, shuni ko’rsatadi. BCC rejimi esa jurnal-nusxa bo’yicha ishlaydi. Ikkalasi ham joriy shlyuzni almashtirmasdan ishlaydi.
Ha, bu asosiy loyihalash sharti. Imzolar, qoidalar va indikatorlar offline — tashuvchi vosita yoki rejali sinxronizatsiya orqali yangilanadi. Ixtiyoriy holda proksi orqali nazoratli onlayn yangilanish ham qo’llab-quvvatlanadi.
Fail-closed faqat skaner nosozligi holatida ishlaydi — yadro javob bermasa yoki fayl ochilmasa. Oddiy shubha holatida Fusion qatlami ishlaydi: bitta zaif signal blok keltirmaydi, faqat bir nechtasi birlashganda kuchli qaror chiqadi.
Yo’q. Fayl, namuna yoki metama’lumot vendor bulutiga yuborilmaydi — nol tashqi telemetriya majburiy shart. Sandbox detonatsiyasi ham mahalliy appliance ichida bajariladi.
SPAN yoki BCC rejimida ulanib, joriy oqimingizga tegmasdan nimalar o’tib ketayotganini ko’rsatamiz. Bu bosqichda hech bir xat bloklanmaydi.
