В конце марта 2026 года стало известно о целевой кампании, в которой злоумышленники использовали уязвимость нулевого дня в Microsoft Office, чтобы закрепиться в инфраструктуре европейских организаций. Показательная деталь: приманкой служили безобидные на вид материалы — графики дождей и ветров. Пока вендор готовил патч, атакующие уже работали внутри периметра.
Для выпускника ИТ- или ИБ-направления этот кейс — не просто новость. Это готовая фактура для введения, обоснования актуальности и постановки задач. Тема «защита от целевых атак» перестала быть абстрактной: сегодня комиссия ждёт, что вы покажете не пересказ CVE, а собственный контур обнаружения и реагирования. Ниже — как разложить инцидент по главам диплома так, чтобы работа выглядела современно и защищалась без «воды».
Первая глава многих дипломов проваливается, потому что сравнение инструментов сводится к перечислению брендов. Стройте его по критериям, которые можно измерить. Ниже — матрица, которую легко защитить: каждый столбец привязан к требованию из технического задания.
| Критерий | SIEM-ядро | EDR-агент | Sandbox |
|---|---|---|---|
| Скорость реакции на 0day | средняя (нужны правила) | высокая (поведение) | средняя (очередь анализа) |
| Стоимость лицензий | высокая | средняя | низкая при self-hosted |
| Ложные срабатывания | зависит от настройки | низкие | высокие |
| Требования к железу | кластер 3+ узла | 2 vCPU / 4 ГБ на хост | отдельный гипервизор |
Отдельный подраздел посвятите маппингу на MITRE ATT&CK: покажите, какие техники из кейса вы закрываете и какими именно источниками событий. Это снимает половину вопросов комиссии ещё до защиты.
Минимум, который стоит нарисовать: контекстная диаграмма (по ГОСТ 34.602-89), схема потоков событий от конечных точек до хранилища, диаграмма последовательности реагирования. Если используете UML — не бойтесь, но подпишите нотацию, иначе получите замечание о «неоднозначных обозначениях».
Ниже — фрагмент правила корреляции: он показывает комиссии, что вы умеете работать с реальным синтаксисом, а не только с теорией.
title: Office spawns suspicious child process
logsource:
product: windows
category: process_creation
detection:
parent:
ParentImage|endswith: '\WINWORD.EXE'
child:
Image|endswith:
- '\powershell.exe'
- '\mshta.exe'
- '\rundll32.exe'
condition: parent and child
level: highВ этом же разделе опишите интеграцию с OpenTelemetry для сбора телеметрии приложений: единый формат трассировок упрощает корреляцию событий и делает архитектуру расширяемой.
Раздел с экспериментами — то место, где работа превращается из реферата в исследование. Зафиксируйте методику: сколько образцов, какая топология стенда, какие сценарии. Дальше — обязательные метрики.
| Метрика | Как считать | Ориентир |
|---|---|---|
| Precision / Recall | TP/(TP+FP) и TP/(TP+FN) | Recall ≥ 0,9 при Precision ≥ 0,85 |
| MTTD | среднее время до обнаружения | менее 5 минут |
| RTO / RPO | по журналам восстановления | задаётся ТЗ |
| Нагрузка | событий/сек без потерь | зависит от стенда |
Для нагрузочного тестирования подойдут открытые генераторы событий: подайте на коллектор поток логов и убедитесь, что буфер не теряет записи при пике. Если разворачиваете кластер в Kubernetes — добавьте в приложение раздел про горизонтальное масштабирование и лимиты ресурсов.
Типичные ошибки студентов
Что проверить перед сдачей
Не всегда, но крайне желательно. Достаточно работающего стенда, правил корреляции и скриптов сбора метрик — это уже программный артефакт, который можно вынести в приложение к работе.
Используйте открытые датасеты сетевого трафика, публичные отчёты об угрозах и собственные сценарии эмуляции на изолированном стенде. Важно честно описать происхождение данных и ограничения методики.
Единая нотация для всей работы: либо UML, либо схемы по ГОСТ 19.701-90. Подпишите оси, потоки данных и границы системы. Каждую диаграмму упомяните в тексте и поясните, что она демонстрирует.
Комиссия ценит связку «требование — решение — проверка». Достаточно прототипа, который решает заявленную задачу и подтверждается метриками. Масштаб промышленной эксплуатации не требуется.
Не хватает 120 часов на эксперименты и вычитку? Закажите диплом с сопровождением: мы бесплатно проконсультируемся по теме, оценим объём и предложим план работы под ваши сроки.
Источник: Microsoft не успел, а хакеры успели. 0Day в Office помог проникнуть в инфраструктуру Европы (опубликовано 2026-03-27)