Опубликовано: 16.09.2026 | Источник: SecurityLab (RSS)

Обнаружение нелегального майнинга в дипломе: детектор угроз, нормативка и метрики качества

Свежая новость от 24 марта 2026 года бьёт по рынку «серого» майнинга: за работу без регистрации в реестре — штраф до 1,5 млн рублей и срок до пяти лет. Для выпускника ИТ-специальности это не просто криминальная хроника, а готовый каркас ВКР. Майнинг перестал быть «чьей-то там железкой в гараже»: он превратился в полноценный инфраструктурный риск, который ловят SIEM-системы, DPI-зонды и поведенческие детекторы. Если вы хотите помощь с дипломом в формате «реальный кейс + измеримый результат» — этот сюжет подходит идеально. Ниже — три рабочие темы, архитектура детектора, метрики и разбор того, что обычно валит защиту.

Три темы ВКР, которые не стыдно защитить

• Тема 1. Детектор майнингового трафика в корпоративной сети на базе Zeek и градиентного бустинга.

  • Актуальность: закон ужесточает ответственность, а значит бизнес вынужден искать майнеров внутри периметра — иначе рискует не только криптофермами, но и репутацией.
  • Цель: снизить время обнаружения нелегального майнинга до <5 минут при FPR < 3%.
  • Задачи: разбор Stratum и его вариантов; сбор датасета; обучение модели (XGBoost или LightGBM); интеграция в SIEM через syslog/CEF.
  • Структура: Гл.1 — обзор протоколов и MITRE ATT&CK T1496; Гл.2 — архитектура конвейера Zeek → feature store → модель; Гл.3 — метрики precision/recall и отчёт по пилоту.

• Тема 2. Контроль ресурсов контейнерной платформы: предотвращение скрытого майнинга в Kubernetes.

  • Актуальность: зарегистрированный или нет — майнер в кластере всё равно съедает бюджет. Admission Controller и Policy-as-Code — тренд 2026 года.
  • Цель: спроектировать политики OPA Gatekeeper и Falco, блокирующие аномальные GPU/CPU-профили.
  • Задачи: анализ векторов атак через sidecar и privileged pods; разработка политик; нагрузочное тестирование через k6.
  • Структура: Гл.1 — анализ CVE и практик эксплуатации; Гл.2 — YAML-манифесты и C4-диаграмма; Гл.3 — сравнение до/после по MTTR.

• Тема 3. Модель оценки риска ресурсного захвата на основе телеметрии OpenTelemetry.

  • Актуальность: аномалии энергопотребления и I/O — ранний сигнал майнинга, зафиксированный в отчётах по инцидентам за 2024–2025 годы.
  • Цель: построить предиктивную модель и продемонстрировать её экономический эффект.
  • Задачи: развёртывание агента; выбор метрик (CPU steal, GPU util, network burst); обучение Isolation Forest; расчёт TCO до и после.
  • Структура: Гл.1 — ISO/IEC 27001 и контроль A.8.16 «Monitoring activities»; Гл.2 — пайплайн сбора; Гл.3 — экономическая эффективность и защита результатов.

Как встроить кейс из статьи в Главу 1

Первая глава ВКР — это не реферат про криптовалюты. Здесь вы строите модель угрозы. Ключевая сущность — MITRE ATT&CK T1496 (Resource Hijacking): техника описывает перехват чужих ресурсов для вычислений, и майнинг — её хрестоматийный пример. Сопоставьте тактики из статьи (нелегальная деятельность → штраф → вскрытие инцидента) с этапами kill chain: initial access → execution → persistence → impact. Такая таблица сразу даёт научруку понять, что вы владеете предметом.

Дальше — нормативный слой. ISO/IEC 27001:2022, приложение A, даёт готовые контроли: A.8.7 «Protection against malware», A.8.16 «Monitoring activities». ГОСТ 34.601-90 предписывает стадии создания автоматизированной системы — она отлично накладывается на ваш детектор. Не выдумывайте стандарты: ссылаться на неактуальные редакции — классическая ошибка, за которую снижают балл.

Проектирование детектора: код и архитектура

Вторая глава — сердце работы. Начните с C4-диаграммы контекста и контейнеров: Sensor (Zeek/Suricata) → Normalizer → Feature Store → ML-model → SIEM. На уровне компонентов распишите UML-диаграмму классов: класс Flow, класс StratumParser, класс Classifier. Схема для нормоконтроля — по ГОСТ 19.701 (ЕСПД), блоки «процесс» и «данные» подписывайте корректно.

Логика детектора строится на двух слоях: эвристика (быстрый отсев) и модель (точная классификация). Пример rule для Suricata, ловящего Stratum-подписку:

alert tcp $HOME_NET any -> $EXTERNAL_NET any (
  msg:"CRYPTO-MINING Stratum login attempt";
  flow:established,to_server;
  content:"\"method\":\"login\""; nocase;
  content:"\"id\":"; distance:0;
  pcre:"/\"params\":\[\"[A-Za-z0-9_]+\",\s*\"x\"/";
  threshold:type limit, track by_src, count 3, seconds 60;
  sid:1000001; rev:1;)

А вот фрагмент валидатора на Python, который вы разрежете пополам между Главами 2 и 3:

import numpy as np

ILLEGIT_PORTS = {3333, 5555, 7777, 14444}
FEATURES = ["bytes_per_sec", "pkts_per_sec", "stratum_json_ratio",
            "duration_sec", "io_wait_delta", "gpu_util"]

def score(flow, model) -> float:
    x = np.array([[getattr(flow, f) for f in FEATURES]])
    p = model.predict_proba(x)[0, 1]
    # двойной барьер: модель + порт
    return p if flow.dst_port in ILLEGIT_PORTS or p >= 0.82 else p

Обратите внимание: код маленький, но он демонстрирует две вещи — работающий инференс и инженерную дисциплину (разделение признаков и правил). На защите это ценится выше «трёх тысяч строк копипасты».

Глава 3: метрики, которые все хотят видеть

Статистику берите из вашего лабораторного стенда, а не из интернета. Bootstrap-оценка доверительных интервалов — 200 итераций, этого хватит для приличия. TCO считайте так: экономия от блокировки одного GPU-фермы минус стоимость лицензий и человеко-часов SOC.

Источник: Штраф до 1,5 млн и срок до пяти лет. Что ждет майнеров криптовалюты, которые не зарегистрируются в реестре (опубликовано 2026-03-24)