Долгосрочные кибератаки в ВКР: архитектура обнаружения и метрики dwell time

Семантический разбор темы (для навигации)

• Основной запрос: долгосрочные кибератаки / APT-атаки
• LSI: dwell time, MITRE ATT&CK, SIEM, EDR, SOC, lateral movement, threat hunting, kill chain, command and control, Zero Trust, NIST SP 800-61, ISO/IEC 27001
• Студенческие вопросы: где брать данные для обучения детекторов; как обосновать выбор SIEM; какие метрики показывают эффективность обнаружения; обязателен ли реальный SOC или хватит эмуляции; как связать MITRE ATT&CK с архитектурой проекта
• Ключевые сущности: MITRE ATT&CK, ISO/IEC 27001, NIST SP 800-61, ГОСТ 34.602-89, OpenTelemetry, SIEM, EDR, YARA, Sysmon

Введение

Новость звучит почти как сюжет триллера: специалисты «потянули за одну нитку» и распутали клубок из десятков скрытных взломов. Суть истории — в самом заголовке: злоумышленники пришли в гости в прошлом году, а грабить начали только сейчас. Это классическая иллюстрация того, что называют dwell time — времени, которое атакующий проводит внутри инфраструктуры до активных вредоносных действий. Месяцы или даже год тихого присутствия — сегодня норма, а не исключение. Для дипломника это означает одно: защита периметра в чистом виде перестала быть достаточной, и в ВКР пора проектировать системы обнаружения длительного присутствия. Разберём, как превратить эту новость в актуальную, защищаемую и просто интересную работу.

Темы ВКР, которые можно «вырастить» из статьи

Тема 1. Обнаружение APT-активности через SIEM и threat hunting

Актуальность. Кейс из статьи прямо показывает: детектировать нужно не взрыв, а шёпот — медленные, редкие, «тихие» события, размазанные по месяцам. Классические пороговые правила такие атаки не берут.

Цель: спроектировать конвейер сбора, нормализации и корреляции событий, способный фиксировать индикаторы долгосрочного присутствия.

Задачи:

• проанализировать модели угроз по MITRE ATT&CK (техники Persistence, Lateral Movement, Command and Control);
• обосновать выбор SIEM-платформы (Elastic, Wazuh, Splunk Free) и EDR-агентов;
• разработать набор правил корреляции (Sigma/YARA);
• оценить «промахи» детектирования на подготовленном датасете логов.

Структура. Глава 1 — обзор APT-модели и источников событий; Глава 2 — архитектура сбора данных (Sysmon, OpenTelemetry, ELK); Глава 3 — тестирование на эмулированном трафике и расчёт метрик MTTD/MTTR.

Тема 2. Архитектура Zero Trust для учебного полигона

Актуальность. Логика статьи: если атакующий уже «в гостях», периметр его не остановит. Значит — сегментация, минимальные привилегии, непрерывная верификация.

Цель: спроектировать сегментированную инфраструктуру с контролем доступа на основе идентичности и контекста.

Задачи:

• сравнить модели Zero Trust (NIST SP 800-207, Google BeyondCorp);
• построить схему сегментации в Kubernetes или на базе pfSense;
• реализовать политики mTLS и OPA-валидации;
• провести нагрузочное тестирование сценариев lateral movement.

Структура. Глава 1 — теория Zero Trust и её отличие от периметровой защиты; Глава 2 — проектирование и развёртывание стенда; Глава 3 — оценка устойчивости и расчёт экономики внедрения.

Тема 3. Метрики зрелости SOC и оценка dwell time

Актуальность. Умение измерить «терпение» атакующего — прямой ответ на сюжет статьи. Без метрик диплом защищать тяжело: не с чем спорить на защите.

Цель: сформировать систему метрик, отражающую скорость обнаружения длительного присутствия.

Задачи:

• выбрать показатели (MTTD, MTTR, coverage по MITRE, FP-rate);
• разработать пилотный дашборд в Grafana;
• подготовить тестовые сценарии на основе публичных APT-отчётов;
• провести сравнение с базовой линией «без SOC».

Структура. Глава 1 — обзор стандартов (ISO/IEC 27001, NIST SP 800-61); Глава 2 — методика метрик и инструментарий; Глава 3 — расчёты и интерпретация результатов.

Аналитическая глава: как превратить новость в обоснование стека

Здесь важно не скатиться в пересказ статьи. Ваш аналитический раздел должен опираться на конкретные параметры выбора решения.

• Сравнение SIEM-решений. Таблица с колонками: лицензия, сборщики логов, поддержка Sigma, стоимость эксплуатации, порог входа. Источник новости даёт естественный критерий — способность платформы работать с событиями, приходящими за длительный интервал, а не только с потоком в реальном времени.
• Сравнение EDR-агентов. Sysmon, Wazuh, Falco — что реально развернуть на учебном стенде за вечер.
• Матрица MITRE ATT&CK. Покажите в работе, какие техники вы покрываете, а какие осознанно оставляете вне охвата — это честнее и сильнее на защите.

Проектная часть: схемы, алгоритмы, интеграция

Скучный раздел можно оживить, если представить его как «путь события». Событие рождается на хосте (Sysmon), идёт через агент (OpenTelemetry Collector), нормализуется в Elastic Common Schema, попадает в индекс и триггерит правило корреляции. Всё это укладывается в 3–4 архитектурные схемы — и сразу видно, что студент понимает поток данных.

• Схема потока данных (C4, уровень Container). Хост → агент → коллектор → SIEM → алерт → SOAR-плейбук.
• Алгоритм корреляции. Блок-схема: событие → обогащение → проверка на известные IOC → эвристика по поведению → склейка в инцидент.
• Интеграция. Webhook в Telegram или Mattermost для учебного SOC, либо HTTP-эндпоинт автоматического обогащения через VirusTotal API (с оговоркой о лимитах).

Пример правила Sigma для отслеживания редких подключений, характерных для backdoor-каналов:

title: Rare Outbound Connection to Newly Registered Domain
logsource:
  category: network_connection
detection:
  selection:
    Initiated: 'true'
    DestinationPort:
      - 443
      - 8443
  condition: selection | count() by DestinationHostname < 3
level: medium

Такие фрагменты в дипломе смотрятся убедительно: они показывают, что вы умеете переводить модель угроз в конкретную логику.

Тестирование и метрики: чем доказывать эффективность

Главная беда многих работ по безопасности — красивая архитектура и ни одной цифры. Исправляется просто: определите метрики заранее и прогоните сценарии.

• MTTD / MTTR — среднее время до обнаружения и реагирования. Прогоняется на эмулированных атаках (Atomic Red Team, Caldera).
• Coverage по MITRE ATT&CK — доля покрытых техник из выбранного профиля угроз.
• False Positive Rate — сколько ложных срабатываний на 1000 событий в сутки. Это реально считаемая величина.
• RTO/RPO — если в работе есть компонент резервного копирования или устойчивости SOC.

Для нагрузочного тестирования конвейера сбора используйте генератор событий (например, вектор из Vector.dev или простой Python-скрипт) с заданной интенсивностью EPS. Сравнение «до/после» — это и есть ваша практическая значимость.

Практические выводы: чему вы научитесь

• переводить новостной кейс в модель угроз и архитектуру;
• обосновывать выбор стека не по вкусу, а по метрикам и лицензиям;
• работать с реальными форматами логов и Sigma-правилами;
• оформлять документацию под ГОСТ 34.602-89 без потери читаемости;
• презентовать результаты через метрики, а не через «всё работает».

FAQ: короткие ответы на частые вопросы

Чек-лист «Что проверить перед сдачей»

Источник: Пришли в гости в прошлом году, а грабить начали только сейчас. Краткий гид по очень терпеливым хакерам (опубликовано 2026-03-29)