Bosh sahifa Wiki Zero-day

Zero-day

Zero-day — vendor yoki himoya jamoalari uchun yangi bo‘lgan, yetarli patch yoki tayyor himoya mavjud bo‘lmagan zaiflik yoki uning exploit holatini ifodalovchi atama. “Zero-day” nomi himoyalanuvchilarda zaiflikni tuzatish uchun deyarli nol kun bo‘lganini anglatadi.

Atama kontekstga qarab zero-day vulnerability, zero-day exploit yoki zero-day attack ma’nosida ishlatilishi mumkin.

Zero-day vulnerability

Vendor hali bilmaydigan yoki public patch chiqarmagan zaiflik.

U researcher, attacker yoki cheklangan guruhga ma’lum bo‘lishi mumkin.

Zaiflik yillar davomida product ichida mavjud bo‘lib, faqat yaqinda aniqlangan bo‘lishi ehtimoli bor.

“Zero-day” zaiflik yangi yozilgan degani emas.

Zero-day exploit

Yangi zaiflikdan foydalanadigan exploit code yoki usul.

Exploit:

ko‘rinishida bo‘lishi mumkin.

Exploit mavjudligi xavfni oshiradi, ammo har exploit barcha konfiguratsiyada ishlamaydi.

Zero-day attack

Patch yoki keng himoya mavjud bo‘lmasdan oldin real nishonlarga qarshi zaiflikdan foydalanish.

Attack aniqlangach vendor, incident response va threat intelligence jamoalari tez ishlaydi.

Detection va vaqtinchalik mitigation patchgacha asosiy himoya bo‘lishi mumkin.

Disclosure oynasi

Zaiflik topilgandan public advisory va patchgacha vaqt oralig‘i mavjud.

Coordinated disclosure jarayonida:

  1. researcher vendorni xabardor qiladi;
  2. zaiflik tasdiqlanadi;
  3. patch va test tayyorlanadi;
  4. foydalanuvchilarga advisory beriladi;
  5. technical detail muvofiqlashtirib chiqariladi.

Ma’lumot erta oshkor bo‘lsa attacker patchdan oldin exploit yaratishi mumkin.

N-day bilan farqi

Patch yoki public ma’lumot chiqarilgandan keyin zaiflik ko‘pincha N-day deb ataladi.

N-day zaiflik ham juda xavfli bo‘lishi mumkin, chunki:

  • tashkilot patch o‘rnatmagan;
  • eski product ishlatiladi;
  • internet exposure mavjud;
  • exploit ommaga tarqalgan.

Ko‘p real hujumlar zero-day emas, patch qilinmagan ma’lum zaifliklardan foydalanadi.

CVE tayinlanishi

Zero-dayga CVE ID darhol mavjud bo‘lmasligi mumkin.

Vendor va CNA tahlildan keyin ID ajratadi.

Bitta campaign bir nechta zaiflikdan foydalanishi mumkin.

CVE paydo bo‘lgach asset inventory va scannerlar ta’sirlangan tizimlarni topishga yordam beradi.

Exploit chain

Modern platformada bitta zaiflik yetarli bo‘lmasligi mumkin.

Attacker:

browser RCE
→ sandbox escape
→ privilege escalation
→ persistence

kabi bir nechta zero-day yoki ma’lum zaiflikni birlashtiradi.

Har qatlamdagi isolation chainning to‘liq muvaffaqiyatini qiyinlashtiradi.

Targeted hujum

Zero-day exploit qimmat va cheklangan bo‘lishi mumkin.

Shu sababli u:

  • hukumat;
  • yirik kompaniya;
  • jurnalist;
  • muhim infratuzilma;
  • yuqori qiymatli account

kabi maqsadli nishonlarga qarshi ishlatilishi ehtimoli bor.

Keyinchalik exploit tarqalib kengroq hujumlarda ishlatilishi mumkin.

Detection

Signature hali mavjud bo‘lmaganda behavior va anomaly muhim.

Indikatorlar:

  • g‘ayrioddiy child process;
  • noma’lum memory behavior;
  • yangi persistence;
  • processdan kutilmagan network;
  • application crash pattern;
  • privilege o‘zgarishi;
  • log va file nomuvofiqligi.

Endpoint telemetry va sandbox tahlili exploit behaviorini ko‘rsatishi mumkin.

Virtual patch

Vendor patchi tayyor bo‘lmasa WAF, IPS yoki reverse proxy exploit request patternini bloklashi mumkin.

Bu virtual patch deb ataladi.

U vaqtinchalik himoya bo‘lib:

  • barcha variantni qamramasligi;
  • false positive berishi;
  • encrypted yoki ichki trafficni ko‘rmasligi

mumkin.

Feature’ni o‘chirish

Zaif component yoki protocol vaqtincha o‘chirilishi mumkin.

Masalan:

  • internet exposure’ni yopish;
  • file previewni o‘chirish;
  • ma’lum formatni qabul qilmaslik;
  • service’ni VPN ortiga olish;
  • vulnerable pluginni olib tashlash.

Bu patchgacha attack surface’ni kamaytiradi.

Defense in depth

Zero-dayni oldindan nomi bilan bloklash mumkin bo‘lmasa ham umumiy qatlamlar ta’sirni kamaytiradi:

Bitta bug butun tizim nazoratiga olib kelmasligi kerak.

Patch chiqishi

Patch chiqarilgach:

  • affected version aniqlanadi;
  • test qilinadi;
  • critical assetga tez tarqatiladi;
  • workaround olib tashlanadi;
  • exploit indicatorlari qidiriladi;
  • eski credentiallar tekshiriladi.

Patch o‘rnatish oldin exploit bo‘lmaganini isbotlamaydi.

Exploit broker va bozor

Zero-day exploitlar private researcher, security vendor, davlat tashkiloti yoki noqonuniy bozorda qiymatga ega bo‘lishi mumkin. Narx target platforma, reliability, required interaction va exploit chain’ga bog‘liq. Bunday bozor mavjudligi disclosure va ethical qarorlarni murakkablashtiradi.

Hunting

Zaiflik detali ma’lum bo‘lmaganda threat hunting konkret CVE signature’siga emas, attacker behavioriga qaraydi. Masalan, browser processidan g‘ayrioddiy child process, yangi credential access yoki noma’lum persistence qidiriladi. Telemetry yetarli bo‘lmasa oldingi compromise aniqlanmay qolishi mumkin.

Patch gap

Vendor patch chiqarganidan tashkilot uni barcha assetlarga o‘rnatguncha yana xavfli vaqt oynasi mavjud. Scanner, inventory va emergency deployment orqali bu gap qisqartiriladi. Offline yoki egasiz qurilmalar alohida nazorat qilinadi.

Coordinated response

Zero-day aniqlanganda vendor, cloud provider, CERT, security vendor va yirik mijozlar orasida cheklangan koordinatsiya bo‘lishi mumkin. Maqsad patch, detection va communicationni bir vaqtda tayyorlash. Tafsilotlar keragidan erta tarqalsa hujumchilar exploitni tezlashtirishi mumkin, juda kech xabar esa foydalanuvchilarni himoyasiz qoldiradi.

Exposure kamaytirish

Asset internetga chiqmasa ham ichki phishing yoki compromised partner orqali nishonga aylanishi mumkin. Shuning uchun vaqtinchalik mitigatsiya network, identity va application qatlamlarini birgalikda cheklaydi. Eng kritik assetlar va yuqori privilege userlar birinchi navbatda himoyalanadi.

Bog‘liq tushunchalar

Zero-day vulnerability, Zero-day exploit, N-day, CVE, Exploit chain, Coordinated disclosure, Virtual patch, Threat intelligence, Defense in depth