В марте 2026 года спецслужбы нескольких стран провели скоординированную операцию «Облава в Бангкоке», в результате которой были ликвидированы крупные центры онлайн-мошенничества в Мьянме и Лаосе. Для студента ИТ-специальности это не просто новость — это готовый кейс для дипломной работы. Вы можете исследовать, как действуют такие мошеннические схемы, и предложить методы защиты, используя реальные тактики threat intelligence, OSINT и SIEM-систем. В статье — практические советы, как превратить этот тренд в успешную ВКР.
| Тема | Актуальность (отсылка к статье) | Цель | Задачи (3–4) | Структура работы |
|---|---|---|---|---|
| Разработка системы обнаружения и блокировки фишинговых ресурсов на основе OSINT и threat intelligence | Мошеннические центры в ЮВА использовали тысячи подставных доменов — операция показала, что классические методы фильтрации не успевают за ними | Создать систему, которая автоматически собирает индикаторы компрометации (IoC) из открытых источников и блокирует доступ к мошенническим сайтам | 1) Обзор методов OSINT и threat intelligence; 2) Проектирование архитектуры сбора и анализа; 3) Реализация прототипа на Python + MISP; 4) Оценка точности (TPR, FPR) на исторических данных |
Гл.1 — анализ угроз и существующих решений; Гл.2 — проектирование и реализация; Гл.3 — тестирование и метрики |
| Применение MITRE ATT&CK для моделирования атак социальной инженерии и построение правил детектирования в SIEM | Организаторы «облав» использовали цепочки: поддельные объявления → мессенджеры → платежные фейки. Это классическая TTP техника T1566 (Phishing) | Разработать набор правил SIEM (Splunk/ELK) для обнаружения многоэтапных фишинговых кампаний | 1) Изучить тактики мошенников по MITRE ATT&CK; 2) Спроектировать корреляционные правила; 3) Провести симуляцию атаки в тестовой среде; 4) Оценить время детектирования (MTTD) и количество ложных тревог |
Гл.1 — теоретические основы моделирования угроз; Гл.2 — проектирование SIEM-правил; Гл.3 — эмуляция и анализ результатов |
| Оценка защищённости платформы электронной коммерции от фрод-атак с использованием фаззинга и машинного обучения | Мошенники в Бангкоке специализировались на подделке интернет-магазинов — это прямая угроза для любого e-commerce бизнеса | Разработать методику выявления подозрительных транзакций и поддельных карточек товаров с помощью ML | 1) Сбор и разметка датасета (легитимные/мошеннические действия); 2) Выбор признаков и обучение модели (Random Forest, XGBoost); 3) Интеграция модуля в веб-приложение; 4) Оценка метрик precision, recall, F1 |
Гл.1 — виды фрода и методы борьбы; Гл.2 — разработка модели; Гл.3 — внедрение и оценка экономического эффекта |
Вместо абстрактного «обзора литературы» используйте реальную цепочку атак из статьи. Например, опишите, как мошенники регистрировали десятки доменов, похожих на известные банки, и рассылали ссылки через Telegram. Ссылайтесь на отчёты Group-IB или Positive Technologies. Добавьте диаграмму угроз в нотации BPMN или C4 — покажите этапы: сбор данных, создание лендинга, социальная инженерия, вывод средств. Такая глава сразу показывает владение инструментами моделирования и знание реального рынка угроз.
# Пример псевдокода для сбора IoC из открытых источников (OSINT)
def collect_ioc(url, api_token):
# используем MISP API для получения последних индикаторов
response = requests.get(f"https://misp.local/attributes/restSearch",
params={"type": "domain", "to_ids": 1},
headers={"Authorization": api_token})
return [attr["value"] for attr in response.json()["Attribute"]]Здесь вы предлагаете архитектуру решения. Например, облачный honeypot, который имитирует сайт-приманку и собирает информацию о действиях мошенников. Используйте ГОСТ 34.601-90 для стадий проектирования (техническое задание, эскизный проект, рабочий проект). Нарисуйте схему сети в UML (диаграмма развёртывания) или C4 Container. Покажите, как ваша система интегрируется с SIEM, Threat Intelligence платформой и блокирует подозрительные запросы на уровне DNS.
// Пример правила Suricata для детектирования фишингового трафика
alert dns $HOME_NET any -> $DNS_SERVER any (msg:"Phishing domain detected (OSINT)";
content:"|0f|"; dns_query;
pcre:"/(?i)(paypa1|bank-secure|verify-account)/";
classtype:phishing; sid:1000001; rev:1;)Обязательно считайте метрики: Precision, Recall, F1-score для детектора; MTTD (Mean Time to Detect) и MTTR (Mean Time to Respond) для процессов реагирования. Если используете ML — добавьте ROC-кривую. Подготовьте таблицу сравнения вашего решения с существующими (например, AlienVault OTX, PhishTank). Пример расчёта:
# Метрики классификации
TP = 145; FP = 12; FN = 25
precision = TP / (TP + FP) # 0.923
recall = TP / (TP + FN) # 0.853
f1 = 2 * precision * recall / (precision + recall) # 0.886Ошибка 1. Игнорирование нормативной базы. В работе нет ссылок на ФЗ-152 «О персональных данных», ISO 27001 или рекомендации ФСТЭК. Без этого научный руководитель снижает оценку.
Решение: включите в Главу 1 раздел «Нормативно-правовая база», опишите требования к обработке данных в контексте вашей темы.
Ошибка 2. Выбор нереализуемой темы. «Разработать систему защиты всего интернета» — невозможно проверить.
Решение: сузьте scope до конкретного типа атак (например, фишинг на основе Telegram-ботов). Используйте реальные данные из кейса «Облавы».
Ошибка 3. Отсутствие экспериментальной части. Много теории, но нет симуляции, датасета или прототипа.
Решение: создайте хотя бы прототип на Python или настройте SIEM-правила в демо-стенде (например, Security Onion). Результаты можно оформить как скриншоты и метрики.
Откройте датасеты с платформы Kaggle («Phishing Dataset», «URL Classification»), используйте индикаторы из репозиториев PhishTank, OpenPhish или получите данные через MISP от сообщества CIRCL. Также можно сгенерировать свои логи с помощью симуляторов (например, Caldera).
Типовой стандарт: 3 главы. Первая — аналитическая (обзор угроз, существующих решений, постановка задачи). Вторая — проектная (архитектура, алгоритмы, реализация). Третья — экспериментальная (тестирование, оценка метрик). Общий объём 60–80 страниц без приложений.
Основные — ГОСТ 7.32-2017 (отчёт о НИР), ГОСТ 34.601-90 (стадии разработки АС) и ISO/IEC 25010 (качество ПО). При защите также потребуется демонстрационный материал (слайды) — можно оформить по шаблону вуза.
Не копируйте готовые кейсы — переработайте их под свои данные. Например, опишите, как вы адаптировали методику MITRE ATT&CK для конкретного датасета. Цитируйте источники, оформляйте ссылки по ГОСТ Р 7.0.5-2008. Используйте сервис Антиплагиат.ВУЗ, но с пониманием, что технический текст должен быть сформулирован самостоятельно.
Нужна профессиональная помощь с ВКР? Наши эксперты готовы помочь на любом этапе: от выбора темы до оформления результатов. Первая консультация бесплатно, сроки от 120 часов. Закажите диплом по кибербезопасности с гарантией уникальности и соответствия ГОСТ.
Источник: Облава в Бангкоке и конец онлайн-разводов. Спецслужбы всего мира объединились против азиатской кибермафии (опубликовано 2026-03-15)