Кибербезопасность в дипломе: как статистика раскрываемости превращается в задачи ВКР

Заголовок статьи «Три четверти киберпреступлений остаются безнаказанными» звучит как приговор, но для студента ИТ-специальности это — готовая фактура для ВКР. Раскрываемость выросла лишь на 3,4%, а пострадавшие возвращают меньше 10% потерянных средств. Что это значит на практике? Компании переходят от «защиты ради галочки» к реальным системам детектирования и реагирования. В дипломе такой тренд можно превратить в проектирование SIEM-контура, настройку SOAR или разработку плана расследования инцидентов. Ниже покажу, как это сделать технически.

FAQ: с чего начинать ВКР по кибербезопасности

Темы ВКР: три рабочих направления

Как встроить материал статьи в главы ВКР

Глава 1: Теория и аналитика

Статья с цифрами раскрываемости — база для статистического анализа. Не просто цитируйте «25% раскрытых дел», а сделайте сопоставление с данными МВД за 3–5 лет. Постройте график динамики и объясните: стагнация раскрываемости напрямую коррелирует с устаревшей архитектурой защиты в коммерческих организациях. Ссылайтесь на OWASP Top 10 и MITRE ATT&CK как на признанные классификации, но подчёркивайте: инструменты — не панацея без процессного подхода. Это станет хорошим мостом к проектной главе.

// Пример анализа корреляции: количество инцидентов и раскрываемость
const incidents = [120, 145, 160, 180];
const disclosureRate = [28.1, 27.4, 26.9, 25.1];
// Расчёт коэффициента корреляции Пирсона — для главы 1
// Java/Python-скрипт + matplotlib для построения графика

Глава 2: Проектирование

Здесь уместно спроектировать архитектуру SIEM-решения. Возьмите за основу C4-модель: контекст (компания с распределённой ИТ-инфраструктурой), контейнеры (сборщики событий, корреляционный движок, база данных), компоненты (адаптеры к источникам, правила корреляции). Если тема про SOAR — добавьте BPMN-диаграмму процесса реагирования на инцидент с ветвлениями для типовых и нештатных ситуаций. Для ВКР допускается реализация прототипа на виртуальных машинах (VirtualBox/Proxmox) с использованием Wazuh или Elastic Stack.

# Пример конфигурации правил корреляции в Wazuh (находится в /var/ossec/etc/rules/local_rules.xml)
<group name="cyber_attack,">
  <rule id="100003" level="12" frequency="10" timeframe="60">
    <if_matched_sid>100002</if_matched_sid>
    <description>Возможная попытка горизонтального перемещения</description>
    <group>lateral_movement,</group>
  </rule>
</group>

Глава 3: Тестирование и эффективность

Не пишите «система работает хорошо» — считайте метрики. Используйте MITRE ATT&CK Navigator для визуализации покрытия атак. Создайте тестовый стенд с эмуляцией атак (Atomic Red Team). Для каждой атаки замеряйте:

• Precision — доля срабатываний, которые реально являются атаками;
• Recall — доля обнаруженных атак от всех попыток;
• MTTD/MTTR — время обнаружения и реагирования.

Сравните метрики в сценарии «без SIEM» и «с SIEM». В выводе отметьте, что автоматизация сокращает время реакции, но не заменяет аналитика. Такой вывод будет отлично смотреться на защите — он показывает системное мышление.

Чему вы научитесь, взяв эту тему

• Проектировать архитектуру ИБ-решений с учётом требований ISO/IEC 27001 и ГОСТ Р 56545-2015.
• Строить модели угроз, используя MITRE ATT&CK и OWASP ASVS, а не «просто скачанные списки».
• Настраивать open-source SIEM и писать корреляционные правила.
• Считать метрики эффективности (MTTD, MTTR, Precision/Recall) и оформлять их в таблицах.
• Сопровождать диплом ссылкой на реальные данные — это сильно повышает доверие комиссии.

Типичные ошибки студентов

Источник: Три четверти киберпреступлений остаются безнаказанными (опубликовано 2026-03-22)