Опубликовано: 11.08.2026 | Источник: Xakep.ru

```html

Кибератаки на Россию в дипломе: анализ угроз и проектирование защиты для ВКР

В 2025 году Россия оказалась в тройке стран, которые хакеры атакуют чаще всего, — наряду с США и Китаем. Эксперты Positive Technologies зафиксировали активность 57 хакерских групп, нацеленных на СНГ. Для студента технических направлений это не просто новостная сводка, а рабочий материал: вы можете использовать свежие данные, чтобы обосновать актуальность дипломного проекта и построить систему защиты, которая отвечает реальным угрозам. В статье разбираю, как именно встроить этот кейс в ВКР, какие темы взять и какие метрики добавить, чтобы работа выглядела современно и защищалась уверенно.

Три сильных темы для ВКР на основе статьи

Тема 1. Сравнение SIEM-решений для обнаружения целевых атак (на примере Positive Technologies)

Актуальность: данные о 57 хакерских группах показывают, что Россия — постоянная цель для целевых атак. Значит, компаниям нужны инструменты, которые агрегируют события и помогают аналитикам среагировать вовремя.

Цель: обосновать выбор SIEM-платформы для организации, работающей в СНГ.

Задачи:

• Классифицировать современные киберугрозы по статистике Positive Technologies.
• Сравнить MaxPatrol SIEM, Kuber SIEM и зарубежные аналоги по критериям стоимости, производительности и соответствия ГОСТ.
• Разработать сценарии корреляции для детектирования действий APT-групп.
• Оценить нагрузку на инфраструктуру при внедрении.

Структура: Глава 1 — анализ угроз и требований; Глава 2 — архитектура SIEM и логика корреляции; Глава 3 — тестирование на стенде и расчёт TCO.

Тема 2. Проектирование системы мониторинга защищённости с учётом киберразведки (Threat Intelligence)

Актуальность: данные об атакующих группах из статьи — это разведка, которую можно интегрировать в систему мониторинга. ВКР покажет, как автоматически обновлять правила детектирования.

Цель: спроектировать архитектуру, которая использует данные CTI для раннего обнаружения атак.

Задачи:

• Изучить стандарты обмена индикаторами компрометации (STIX/TAXII).
• Спроектировать схему интеграции CTI-фида Positive Technologies с IDS/IPS.
• Разработать прототип модуля обогащения событий.
• Провести нагрузочное тестирование и проверить RTO/RPO.

Структура: Глава 1 — обзор угроз и методов киберразведки; Глава 2 — архитектура интеграции; Глава 3 — опытная эксплуатация.

Тема 3. Повышение эффективности реагирования на инциденты в SOC

Актуальность: большое количество атакующих групп означает высокую нагрузку на операторов SOC. Диплом может решать задачу сортировки алертов.

Цель: разработать алгоритм приоритизации инцидентов на основе фреймворка MITRE ATT&CK.

Задачи:

• Сопоставить тактики хакерских групп из статьи с матрицей MITRE.
• Создать карту покрытия существующими правилами.
• Разработать модуль автоматического назначения критичности.
• Сравнить время реакции аналитика до и после внедрения.

Структура: Глава 1 — анализ актуальных тактик и процедур SOC; Глава 2 — проектирование алгоритма; Глава 3 — оценка эффективности.

Аналитическая глава: как использовать статью для обоснования стека

Статья из журнала Xakep — официальный источник, на который можно ссылаться в обзоре. Не ограничивайтесь одной новостью: соберите статистику Positive Technologies за 2–3 года, сравните динамику и выделите тренды. В таблице ниже я собрал метрики, которые удобно взять за основу для аналитики.

В аналитической главе необходимо опираться на требования ГОСТ 34.602-89 к составу автоматизированной системы и ISO/IEC 25010 — к качеству ПО. Если делаете сравнение SIEM, обязательно приводите критерии: производительность (EPS), время индексации, полнота корреляции, наличие российских сертификатов. Статья даёт отличный повод подчеркнуть, что решение Positive Technologies адаптировано к российским реалиям — и это ваш аргумент в таблице сравнения.

Где брать дополнительные данные?

Используйте отчёты Positive Technologies за 2023–2025 годы (они доступны на официальном сайте), а также базы MITRE ATT&CK и OWASP Top 10. Не ссылайтесь на «одну статью из интернета» — постройте сравнительную таблицу на нескольких источниках. Так вы избежите претензий научного руководителя к глубине анализа.

Проектная часть: от схемы к алгоритму

После анализа переходите к проектированию. Здесь ключевое — показать, что вы понимаете архитектуру предлагаемой системы. Чертите схему в графическом редакторе или PlantUML: она должна включать источники событий, средства сбора, поток обогащения данными, хранилище и консоль оператора. В дипломе не обязателен полностью рабочий код, но фрагменты конфигураций и SQL-запросов приветствуются.

Пример интеграции CTI-фида в правила корреляции (псевдокод):
rule "APT-indicator-match" {
    when
        event.ip == threat_intel.ioc && threat_intel.source == "PT"
    then
        alert("Обнаружен IOC группы " + threat_intel.group_name)
        priority = map_priority(threat_intel.group_name)
end

Отметьте, как ваша схема учитывает необходимость обновления правил при появлении новых групп. Статья сообщает о 57 группах — значит, в проекте должен быть регламент обновления базы индикаторов, например, ежесуточно. Если этого не сделать, система быстро устареет — и это сильный аргумент в пользу автоматизации.

Тестирование и метрики: что измерять в дипломе

Раздел тестирования я советую строить вокруг реальных метрик. В технических ВКР часто ограничиваются фразой «система работает», но этого мало. Для темы по информационной безопасности подойдут:

• RTO (Recovery Time Objective) — время восстановления после сбоя. Если проектируете SIEM, покажите, что избыточность не превышает бюджет.
• RPO (Recovery Point Objective) — допустимая потеря данных при отказе. Для журналов безопасности обычно не более 5 минут.
• Скорость корреляции: количество событий в секунду (EPS). Сравните с производительностью вашего стенда.
• Точность детектирования: процент ложных срабатываний. Напишите, как вы её калибровали.

Нагрузочное тестирование удобно провести с использованием инструментов вроде Apache JMeter или на генераторах трафика для IDS. Важно зафиксировать условия: объём логов, количество узлов, версии компонентов. Результаты тестов рекомендуется оформить в виде таблиц и графиков с выводами — это добавляет работе практическую ценность.

Чему вы научитесь в ходе работы

ВКР по этой теме прокачает навыки, которые действительно пригодятся на собеседовании: вы научитесь обосновывать выбор стека под угрозы, строить архитектуру систем защиты и превращать разрозненные данные статьи в техническое задание. Вы также получите опыт оформления проектной документации по ГОСТ 34.602-89 и ISO/IEC 25010 — это отдельный плюс для будущей работы. Если включить в проект интеграцию с Kubernetes или контейнеризацию компонентов, то появится ещё один аргумент для собеседования.

Вопросы, которые задают студенты

Сложно ли реализовать такую ВКР без опыта работы в ИБ?

Достаточно базовых знаний сетей и Linux. Многое можно сделать на виртуальных машинах: развернуть Suricata или Wazuh, скачать тестовые логи CTF-соревнований. Вместо полноценного SIEM допустимо прототипирование на open-source-решениях — главное, объяснить, как ваш подход масштабируется.

Что делать, если вуз не требует писать код?

Тогда усильте аналитический раздел: проведите сравнение средств защиты, составьте подробную модель угроз, постройте IDEF0-диаграммы. Даже без кода вы можете показать архитектуру и оценить экономический эффект внедрения — этого достаточно для большинства технических ВКР.

Как оформить UML-диаграммы и схемы, чтобы не сняли баллы?

Используйте единый стандарт нотации: UML 2.5 для диаграмм прецедентов и последовательности, BPMN 2.0 — для бизнес-процессов. Под каждую схему делайте подпись «Рисунок 1 — Название» со ссылкой в тексте. Не перегружайте одну диаграмму — лучше разбить на несколько уровней.

Где брать тестовые данные, если нет реальной инфраструктуры?

Есть открытые датасеты: BOSS (Buckeye Internet Sensor), MAWILab для DNS-трафика, данные SQL Injection Challenge. Для SIEM — сэмплы атак от MITRE. Используйте также валидацию в песочнице на виртуальных машинах.

Источник: Positive Technologies: Россия вошла в тройку наиболее атакуемых хакерами стран (опубликовано 2026-03-18)

```