Security mitigation — tahdid yoki vulnerability’dan keladigan zarar ehtimoli yoxud ta’sirini kamaytiruvchi chora. Mitigation zaiflikni to‘liq tuzatishi shart emas. Patch root cause’ni bartaraf etishi mumkin, network cheklovi yoki feature’ni o‘chirish esa fixed version deploy qilinguncha exposure’ni vaqtincha pasaytiradi. Har choraning qamrovi, bypass ehtimoli va amal qilish muddati aniq bo‘ladi.
Chora turlari
Preventive control hujumni to‘xtatishga urinadi: parameterized query, strong authentication yoki memory-safe API. Detective control zararli xatti-harakatni ko‘rsatadi: audit log, anomaly rule yoki file integrity monitoring. Corrective control hodisadan keyin tiklaydi: credential rotation, immutable backup va clean rebuild.
Compensating control asosiy talabni aynan o‘sha texnologiya bilan bajara olmaganda o‘xshash risk kamayishini beradi. Masalan, patchlanmaydigan legacy servisni faqat aniq proxy orqali ochish va read-only accountga tushirish mumkin. Bu patch ekvivalenti emas; residual risk qoladi.
Vaqtinchalik mitigation
Zero-day e’lonida vendor vulnerable endpointni o‘chirish, request patternni bloklash yoki privilege’ni kamaytirishni tavsiya qilishi mumkin. Tashkilot workaround funksional ta’sirini canaryda tekshiradi. WAF signature encoding variant va boshqa protocol pathni qamramasligi mumkin, shuning uchun monitoring kuchaytiriladi.
Mitigation owner, joriy etilgan vaqt va expiry bilan change recordga yoziladi. Patch chiqqach vaqtinchalik qoida unutilib qolsa performance yoki noto‘g‘ri bloklash muammosini davom ettiradi. Fixed deployment tasdiqlangach workaround nazoratli olib tashlanadi.
Tanlash mezonlari
Chora threat ssenariysining qaysi shartini o‘zgartirishi aniqlanadi. MFA credential o‘g‘irlanishi ta’sirini kamaytiradi, lekin session token o‘g‘irlanganida yordam bermasligi mumkin. Encryption disk nusxasini himoya qiladi, running application compromise’idan emas. Noaniq “qo‘shimcha xavfsizlik” o‘rniga control-to-threat mapping tuziladi.
Effectiveness, coverage, reliability, operation xarajati va user impact baholanadi. Bitta global control common-mode failure yaratmasligi kerak. Availability xavfi ham hisoblanadi: aggressive rate limit legitim peak trafikni to‘xtatishi mumkin. Fail-open va fail-closed tanlovi data sensitivity hamda xizmat vazifasiga mos qilinadi.
Tasdiqlash
Configuration mavjudligini ko‘rish yetarli emas. Control test real attack pathni yuborib blok, alert va audit natijasini tekshiradi. Purple-team bypass variantini sinaydi. Metrikalar enforcement coverage, policy error, bypass va false positive’ni ko‘rsatadi.
Residual risk risk owner tomonidan qabul qilinadi yoki qo‘shimcha qatlam talab qiladi. Incidentlar mitigation taxminlarini qayta tekshiradi. Root cause patch mavjud bo‘lsa faqat perimeter controlga tayanish texnik qarzni uzaytiradi; defense in depth patchni to‘ldiradi, almashtirmaydi.
Mitigation matritsasi
Bir incidentda bir nechta variant jadvalda solishtiriladi: joriy etish vaqti, risk kamayishi, xizmat ta’siri, rollback va evidence. Endpointni o‘chirish kuchli, lekin biznesni to‘xtatishi; virtual patch tez, lekin bypassga ochiq; emergency build esa regression xavfiga ega. Qaror risk owner va texnik owner bilan olinadi. Har variant prerequisite’ga ega: network ACL faqat trafik haqiqatan shu gateway’dan o‘tsa ishlaydi. Deploymentdan keyin configuration snapshot, test request va monitoring signal evidence sifatida saqlanadi. Nazorat ishlamay qolsa fallback va eskalatsiya oldindan belgilanadi.
Operatsion hayot sikli
Mitigation inventory asset va vulnerability yozuviga bog‘lanadi. Platform migratsiyasi, yangi region yoki protocol qo‘shilganda coverage avtomatik qayta tekshiriladi. Vaqtinchalik qoida doimiy arxitektura qaroriga aylansa performance, support va ownership bilan rasmiylashtiriladi; aks holda expiry’da olib tashlanadi.
Bog‘liq tushunchalar
Security control, Compensating control, Residual risk, Defense in depth, Workaround, Patch management, Risk treatment