Audit jurnali va oʻzgarishlar izi: kim, nima, qachon

OWASP, yaʼni veb-ilovalar xavfsizligi bilan shugʻullanuvchi ochiq tashkilot, oʻz tavsifida bir holatni keltiradi. Bolalar sogʻliqni saqlash rejasi provayderida jurnal va monitoring yoʻq edi, shu sababli hujum haqida tashqi tomon xabar berdi. Hujumchi 3,5 milliondan ortiq bolaning minglab yozuvlarini oʻzgartirgan, bunday kirish esa 2013 yildan beri, yaʼni yetti yildan koʻproq davom etgan boʻlishi mumkin edi. Muammo faqat hujumda emas edi: tashkilotning oʻz tizimi kim nimani oʻzgartirgani haqidagi savolga javob bera olmasdi. Bu toifa OWASP ning 2025 yilgi roʻyxatida toʻqqizinchi oʻrinda turadi va unga 260 mingdan ortiq holat kiritilgan.

Ikki xil iz: kirish jurnali va oʻzgarishlar izi

Jurnal deganda odatda ikki xil yozuv aralashib ketadi. Birinchisi hodisalar jurnali: kim tizimga kirdi, kirish urinishi muvaffaqiyatsiz boʻldimi, kim ruxsatsiz joyga kirmoqchi boʻldi. Ikkinchisi oʻzgarishlar izi: qaysi yozuvning qaysi maydoni, qaysi qiymatdan qaysisiga, kim va qachon tomonidan oʻzgartirildi. Bu tahririyat tasnifi, ammo manbalar ham ikkala turni alohida tilga oladi.

Odoo da farq koʻrinib turadi. Server har bir kirish urinishida jurnalga natijani, yaʼni muvaffaqiyatli yoki muvaffaqiyatsiz boʻlganini, kirish nomini va manba manzilni yozadi. Yozuvlar oʻzgarishi esa alohida izda saqlanadi: buxgalteriyada u audit izi hisobotida koʻrinadi. Hujjat kirish yozuvlaridan avtomatik himoya uchun ham foydalanishni misol qilib koʻrsatadi: bir daqiqada bir manzildan oʻnta muvaffaqiyatsiz kirish boʻlsa, manzil 15 daqiqaga toʻsiladi. Demak, jurnal tergov uchungina emas, ogohlantirish uchun ham xizmat qiladi.

Yozuvda nimalar boʻlishi kerak

NIST katalogi yozuv tarkibini aniq sanaydi: qanday hodisa yuz berdi, qachon, qayerda, manbasi nima, natijasi nima va unga kim yoki nima aloqador. OWASP qoʻllanmasi buni toʻrt savolga keltiradi: qachon, qayerda, kim va nima. Ikkala hujjatdan chiqadigan oddiy xulosa shunday: yozuvda «kim» deganda umumiy login emas, aniq odam koʻrinishi kerak.

Eski va yangi qiymat alohida ahamiyatga ega. Faqat rekvizit oʻzgardi, degan yozuv soxta toʻlovni tekshirishda kam yordam beradi, chunki avvalgi qiymatni bilmay turib zararni baholab boʻlmaydi. Odoo 20 hujjatiga koʻra, buxgalteriya audit izi aynan shularni yozadi: oʻzgarish sanasi va vaqti, oʻzgartirgan foydalanuvchi, oʻzgarish turi, oldingi va yangi qiymat.

Jadvaldagi birinchi ikki qatorga qayta qarang. Hisob raqami oʻzgargan, oradan oʻn olti daqiqa oʻtib esa shu yetkazib beruvchiga toʻlov tasdiqlangan. Har bir harakat alohida olinsa, oddiy koʻrinadi. Ikkisi ketma-ket kelganda tekshirishga arziydigan naqsh chiqadi, bu gipotetik misolda ham shunday. Oʻzgarishlar izi shu naqshni koʻrsatish uchun kerak, chunki hodisalarning vaqt tartibini faqat jurnaldan tiklash mumkin.

Hamma narsani yozish ham xato

Koʻp yozish yaxshi, degan tasavvur notoʻgʻri. OWASP qoʻllanmasi roʻyxat boʻyicha ishlashdan ogohlantiradi: haddan tashqari yozuv haqiqiy muammoni shovqin ichida yashiradi. Qoʻllanma xavfi yuqori harakatlarni qayd etishni tavsiya qiladi: foydalanuvchilarni boshqarish, administrator harakatlari, maxfiy maʼlumotga kirish, import va eksport, rozilikni qabul qilish. NIST esa yana bir talab qoʻshadi: tanlangan hodisa turlari nega aynan tergov uchun yetarli ekanini asoslash kerak.

NIST katalogi hodisa turlariga misollar keltiradi: parol oʻzgarishi, muvaffaqiyatsiz kirish, xavfsizlik belgilarining oʻzgarishi, administrator huquqidan foydalanish va maʼlumot ustidagi harakatlar. Bu roʻyxat tayyor andoza emas. Katalog tashkilotning oʻzi hodisa turlarini tanlashini, tanlovni jurnal maʼlumotiga muhtoj boshqa tomonlar bilan kelishishni va uni vaqti-vaqti bilan yangilab turishni talab qiladi.

Nimani yozmaslik ham muhim. Qoʻllanma parollarni, sessiya kalitlarini, bank karta maʼlumotini va shaxsga doir maʼlumotni jurnalda ochiq saqlamaslikni, kerak boʻlsa yashirish yoki shifrlashni aytadi. NIST ham ogohlantiradi: jurnalning oʻzi shaxsiy maʼlumotni ochib qoʻyishi mumkin, ayniqsa kiritilgan qiymatlar yoki foydalanish vaqti yozilsa. Qoʻshimcha maʼlumot yozish imkoni boʻlsa, katalog uni faqat audit uchun zarur narsa bilan cheklashni tavsiya qiladi, chunki ortiqcha axborot jurnalni chalkashtiradi va shaxsiy xavfni oshiradi.

Jurnalning oʻzini himoyalash

Tizimga ruxsatsiz kirgan odam birinchi navbatda izni yoʻq qilmoqchi boʻladi. Shuning uchun NIST jurnal axborotini ruxsatsiz kirish, oʻzgartirish va oʻchirishdan himoyalashni, bunday urinish aniqlansa ogohlantirishni talab qiladi. OWASP ham yuqori xavfli harakatlar izini yaxlitlik nazorati bilan yuritishni tilga oladi, masalan faqat qoʻshiladigan jadvaldan foydalanishni. Qoʻllanmaga koʻra, jurnalga kirishning oʻzi qayd etiladi, oʻqish huquqi cheklanadi va davriy koʻrib chiqiladi.

Jurnal faqat bitta serverning ichida turishi ham xavf. OWASP bu holatni alohida kamchilik deb sanaydi: jurnallar faqat mahalliy saqlanadi va yetarlicha nusxalanmaydi. Qoʻllanma jurnal nusxasini imkon qadar tez salt oʻqiladigan muhitga koʻchirishni maslahat beradi. NIST jurnalni boshqarish huquqini tor guruhga berishni ham aytadi, chunki tekshiriladigan imtiyozli foydalanuvchi oʻz izini oʻzgartirib qoʻyishi mumkin.

Jurnalning oʻzi ishdan chiqishi ham mumkin. NIST bu holatni alohida koʻrib chiqadi: jurnal yozish jarayonida xato yuz bersa yoki saqlash joyi toʻlib qolsa, masʼul kishilar vaqtida ogohlantirilishi kerak, tashkilot esa nima boʻlishini oldindan belgilaydi. Variantlar orasida eng eski yozuvlarni ustidan yozish, tizimni toʻxtatish yoki yozishni toʻxtatib turish bor. Birinchisi izni yoʻqotadi, ikkinchisi ishni toʻxtatadi, shuning uchun tanlov xavfning kattaligiga qarab oldindan qilinadi. Saqlash hajmi esa jurnal turlariga qarab oldindan ajratiladi.

Jurnalni kim koʻrishi ham ichki nazoratning bir qismi. NIST vazifalarni ajratish bandida kirish huquqlarini boshqaradigan xodim audit ishini ham bajarmasligi kerakligini yozadi. Bu qoida shu maqola mavzusiga bevosita tegadi: ruxsatlarni sozlagan odam oʻzi sozlagan ruxsatlardan foydalanish izini oʻzi tekshirmasligi kerak.

Vaqt ham masala. Ikki serverning soati bir necha daqiqaga farq qilsa, voqealar ketma-ketligi chalkashadi. NIST vaqt belgisini UTC da yoki UTC dan qatʼiy farq bilan yozishni, OWASP qoʻllanmasi esa barcha serverlarda vaqtni sinxronlashtirishni tavsiya qiladi.

Jurnalning yana bir vazifasi bor: odam harakatni bajarmaganini aytolmasligi uchun dalil boʻlish. NIST buni inkor etib boʻlmaydigan dalil deb ataydi, misol sifatida axborot yaratish, xabar yuborish va tasdiqlashni keltiradi, texnik yoʻl sifatida esa raqamli imzo va qabul qilinganlik tasdigʻini tilga oladi. Oddiy tilda: toʻlovni tasdiqlagan kishi keyinroq men tasdiqlamaganman, deya olmasligi uchun tasdiq uning shaxsiy nomi bilan va oʻzgartirib boʻlmaydigan izda turishi kerak.

Saqlash muddati va koʻrib chiqish

Jurnalni qancha saqlash kerakligi qonun, shartnoma va tergov ehtiyojiga bogʻliq. NIST jurnalni ish, huquqiy yoki audit maqsadlari uchun zarur boʻlmay qolguncha saqlashni yozadi. OWASP qoʻllanmasi ikki yoqlama gapiradi: jurnal talab etilgan muddatdan oldin yoʻq qilinmasligi kerak, ammo undan keyin ham saqlanmasligi kerak. Ikkinchi qism jurnalda shaxsga doir maʼlumot boʻlsa ayniqsa muhim.

Yozilgan, lekin hech kim oʻqimaydigan jurnal yordam bermaydi. OWASP kamchiliklar roʻyxatida ogohlantirish chegaralari va javob jarayoni yoʻqligini alohida sanaydi, toifaning nomi esa 2025 nashrida ogohlantirishni ham qamrab oladigan qilib oʻzgartirilgan. NIST jurnalni davriy tahlil qilish, topilganlarni masʼul tomonga yetkazish va xavf oʻzgarganda tahlil darajasini moslashni aytadi. Kichik kompaniyada bu haftalik bir roʻyxat boʻlishi mumkin: katta summali toʻlovlar, imtiyozli huquq berish va ketma-ket muvaffaqiyatsiz kirishlar. Bu tahririyat mulohazasi.

Odoo 20: nima mavjud va chegarasi qayerda

Odoo 20 hujjatida buxgalteriya uchun alohida Audit izi hisoboti bor. U buxgalteriyaga taʼsir qiladigan maydonlardagi oʻzgarishlarni kuzatadi. Oʻzgarishlar yozuvning muloqot oynasida ham qayd etiladi, hujjat esa hisobotni auditorlar va moliya organlari talablariga javob beradigan vosita deb tavsiflaydi. Bu vendorning oʻz bahosi, tashqi tekshiruv emas.

Cheklovli rejim ham bor. U yoqilsa, kuzatiladigan yozuvlarni oʻchirib boʻlmaydi, ularni faqat bekor qilish yoki arxivga olish mumkin. Bu yozuvni oʻchirib, izni yashirish yoʻlini yopadi. Chegara hujjatning oʻz soʻzlarida koʻrinadi: hisobot buxgalteriyaga taʼsir qiladigan maydonlarni kuzatadi. Ombor, kadrlar yoki mijoz kartochkasi uchun bu hisobotning qamrov doirasi hujjatda aytilmagan, shuning uchun uni oʻz bazangizda sinab koʻrish kerak.

Odoo Online provayder tomonini ham koʻrsatadi. Hujjat Odoo xodimlari yoki baza administratori bajargan harakatlar jurnalini koʻrish imkonini beradi. Yozuvda sana, foydalanuvchi, IP manzil, harakat turi, tafsilot va u ruxsat etilgan yoki yoʻqligi koʻrsatiladi. Provayder tomonidagi kirish ham izli ekani oʻzi muhim.

Amalda nima qilish mumkin

Bu qadamlar manbalardagi mantiqdan chiqarilgan tahririyat xulosasi, tayyor protokol emas. Ularning birortasi yangi dastur sotib olishni talab qilmaydi, koʻpi mavjud sozlamalarni tekshirishdan boshlanadi.

1. Xavfi yuqori harakatlarni yozing: toʻlov, rekvizit oʻzgarishi, huquq berish, eksport. Jurnalni aynan shulardan boshlang.
2. Bitta oʻzgarishni amalda bajarib, izda kim, qachon, nima, oldingi va yangi qiymat borligini tekshiring.
3. Umumiy loginlarni bekor qiling: izda aniq odam koʻrinmasa, jurnalning foydasi qolmaydi.
4. Jurnal nusxasini asosiy serverdan alohida joyga koʻchiring va uni oʻzgartirish huquqini tor doiraga bering.
5. Haftada bir marta jurnalni oching: imtiyozli harakatlar, ketma-ket xatolar va ish vaqtidan tashqari kirishlarni koʻring, muddat va masʼulni yozib qoʻying.