Опубликовано: 18.08.2026 | Источник: Xakep.ru

Анализ атак на цепочку поставок для ВКР: защита репозиториев от компрометации

Мартовская новость всколыхнула ИБ-сообщество: исследователи Aikido, Socket, Step Security и OpenSourceMalware обнаружили 433 скомпрометированных компонента GlassWorm — от GitHub-репозиториев до расширений для VS Code. Для студента это не просто сводка инцидентов, а готовая исследовательская база. На таком кейсе можно построить дипломную работу уровня «хорошо» и «отлично»: он свежий, конкретный и требует практической проработки. Разберём, как превратить статью о GlassWorm в полноценное исследование, какие темы выбрать, как оформить главы и защититься перед комиссией без скучных фраз «актуальность обусловлена...».

Как статья GlassWorm превращается в главы ВКР

Начнём с главного: статью нельзя просто вставить в диплом как «обзор литературы». Её нужно переработать в объект исследования и предложить архитектуру решения. Ниже — три темы ВКР, которые органично используют кейс GlassWorm и выводят на защищаемый результат.

Что брать из статьи для главы 1 и главы 2

Глава 1 (анализ). Опишите инцидент как типовую модель атаки на цепочку поставок: злоумышленник получает доступ к репозиторию, публикует обновление с вредоносным кодом, пользователи автоматически скачивают его. Постройте диаграмму прецедентов UML (акторы: разработчик, пакетный менеджер, конечный пользователь) или C4-контекстную схему, где показано, как компоненты взаимодействуют и где именно целесообразно ставить систему защиты.

Глава 2 (проектирование). Предложите решение: например, пайплайн анализа зависимостей с генерацией SBOM и проверкой по базам известных уязвимостей и вредоносных сигнатур. Для этого потребуется настроить CI/CD — вот пример конфигурации GitHub Actions для генерации SBOM и сканирования:

name: sbom-check
on: [push, pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Generate SBOM
        run: |
          pip install cyclonedx-bom
          cyclonedx-py -e -o sbom.json
      - name: Run OSV-Scanner
        run: |
          osv-scanner --sbom sbom.json
      - name: Run Socket CLI
        run: |
          npx @socketsecurity/cli sbom

Такой код показывает членам комиссии, что вы умеете применять современные инструменты, а не только теоретические модели.

Метрики и инструменты для подтверждения эффективности

Комиссия почти всегда задаёт вопрос: «А почему ваше решение лучше?» Ответ нужно подкреплять цифрами. Используйте метрики, отражающие именно защиту цепочки поставок:

Эксперимент можно провести на собственном учебном проекте: симулируйте внедрение «подозрительного» пакета и замерьте время детектирования и полноту.

Чему вы научитесь: практические навыки для защиты

Помимо текста ВКР, вы прокачаете конкретные компетенции, которые легко показать в докладе:

• анализировать цепочку поставок и строить модели угроз;
• генерировать SBOM в форматах CycloneDX и SPDX;
• автоматизировать проверки зависимостей в GitHub Actions;
• обосновывать эффективность через метрики Precision, Recall, MTTD;
• оформлять результаты по ГОСТ 19 и ГОСТ 34 — это закроет нормоконтроль.

FAQ — частые вопросы студентов

Источник: GlassWorm скомпрометировал более 400 репозиториев и расширений на GitHub, npm и Open VSX (опубликовано 2026-03-19)