Опубликовано: 14.09.2026 | Источник: CNews (новости)

Киберзащита на Positive Technologies в ВКР: от архитектуры SOC до метрик MTTD и MTTR

Поддомен: Cybersecurity. Роль автора: специалист по информационной безопасности.

Введение: почему кейс СГМК — это готовый каркас для диплома

В марте 2026 года «Сибирская горно-металлургическая компания» официально сообщила о построении системы мониторинга событий ИБ и управления инцидентами на продуктах Positive Technologies. Для выпускника направления «Информационная безопасность», «Прикладная информатика» или «Инфокоммуникационные технологии» это не просто новость. Это живой пример того, как промышленное предприятие закрывает контур SOC: собирает логи с АСУ ТП и корпоративной сети, коррелирует события, реагирует на инциденты по регламенту.

Именно такой кейс отлично ложится в структуру ВКР: во введение — обоснование актуальности через отраслевую специфику, в первую главу — анализ SIEM-класса и стандартов, во вторую — проектирование собственной архитектуры, в третью — расчёт метрик эффективности. Разберём, как это сделать без переписывания пресс-релиза.

Темы ВКР на основе кейса СГМК

Ниже — три рабочие темы, которые можно защитить в 2026 году. Все они опираются на реальные практики, описанные в кейсе, но не требуют NDA от компании: вы проектируете типовое решение, а не копируете чужой ландшафт.

Как встроить материал статьи в главы ВКР

Глава 1: анализ — где взять теорию, а не пресс-релиз

Не пересказывайте новость. Используйте её как точку входа: компании из промышленного сектора переходят от разрозненных антивирусов к централизованному SOC. Дальше разворачивайте теорию — что такое SIEM, чем он отличается от IDS/IPS, как работает корреляция событий, какие есть классы правил (пороговые, статистические, поведенческие). Хорошо сюда ложатся три обязательные схемы:

• Уровневая модель SOC (L1, L2, L3) в нотации C4 Context;
• Матрица MITRE ATT&CK с покрытием сценариев вашего предприятия;
• Схема потоков данных: источники → коллекторы → нормализация → коррелятор → хранилище → визуализация.

Глава 2: проектирование архитектуры сборки событий

Здесь появляется инженерная конкретика. Опишите требования к агентам, пропускной способности, ретенции данных. Если используете открытый стек для лабораторного стенда (Wazuh + Elastic, либо ELK + Sigma), покажите конфигурацию. Ниже — фрагмент декларативного описания источника событий (псевдокод на YAML, легко адаптируется под Sigma или встроенные правила):

sources:
  - name: cisco_asa
    type: syslog
    port: 514
    parser: cisco_asa_v3
    correlation_rules:
      - id: R-001
        description: "Множественные неудачные VPN-подключения"
        condition: "event.action == 'vpn_fail' and count > 10 within 300s"
        severity: high
        mitre: T1110
  - name: windows_dc
    type: winlogbeat
    channels: [Security, System]
    correlation_rules:
      - id: R-014
        description: "Pass-the-Hash по 4624 типа 3"
        condition: "event.code == 4624 and logon_type == 3 and ntlm == true"
        severity: critical
        mitre: T1550.002

Глава 3: тестирование и метрики

Самая слабая часть большинства ВКР по ИБ — доказательство, что решение работает. Здесь вы считаете метрики SOC: MTTD (mean time to detect), MTTR (mean time to respond), FPR (false positive rate), покрытие MITRE-техник. Baseline берите с открытых источников (отчёты Positive Technologies, отчёты SOC-центров) — кейс СГМК даёт вам право ссылаться на отраслевые данные, не выдумывая их. Тестовый стенд можно собрать на 3–4 виртуальных машинах, генерируя события через Atomic Red Team.

Инструментальный стек: что реально успеть за семестр

Чему вы научитесь в процессе

1. Проектировать отказоустойчивый контур сбора событий с разграничением зон доверия.
2. Писать правила корреляции и связывать их с техниками MITRE ATT&CK.
3. Считать метрики SOC и защищать цифры перед комиссией, а не описывать их словами.
4. Оформлять архитектурные схемы в нотациях C4 и BPMN по требованиям нормоконтроля.
5. Формализовать ТЗ на систему ИБ в соответствии с ГОСТ 34.602.

FAQ: вопросы, которые задают чаще всего

Можно ли использовать MaxPatrol SIEM в лабораторном стенде, если лицензии нет?

Прямо — нет. Но у Positive Technologies есть программы для студентов и лабораторий, плюс открытые альтернативы: Wazuh, OpenSearch + Sigma. Идея архитектуры переносится 1:1, а в тексте вы честно указываете, что тестирование проводилось на открытом стеке.

Где взять реальные логи для тестирования корреляции?

Три источника: 1) открытые датасеты (EVTX-ATTACK-SAMPLES, Splunk BOTS); 2) генерация через Atomic Red Team на своей виртуалке; 3) логи собственной домашней сети (только с согласия и обезличенно). Ни в коем случае не берите данные с работы — это NDA и утечка.

Какую метрику выбрать главной для защиты?

MTTD и MTTR вместе. Они показывают и качество детекта, и зрелость процесса реагирования. FPR оставьте как вспомогательную — она хороша для обоснования тюнинга правил.

Что писать в заключении, если цифры «до/после» близки?

Покажите это честно. Если прирост MTTD составил 12 %, а MTTR — 20 %, защищайте именно эти цифры. Комиссия ценит прозрачность больше, чем завышенные проценты, которые невозможно обосновать.

Источник: СГМК выстроила киберзащиту на продуктах Positive Technologies (опубликовано 2026-03-24)