25 марта 2026 года Security Vision объявила о том, что усилила приоритизацию уязвимостей за счёт данных ФСТЭК России. Речь идёт о том, что к «сырым» оценкам CVSS добавляется контекст официального банка данных угроз (БДУ) — а значит, очередь исправления дефектов выстраивается не по формальной критичности, а по реальной эксплуатируемости. Для выпускников ИТ- и ИБ-направлений это сигнал: классическая схема «прочитал CVSS из отчёта сканера → отсортировал по убыванию» окончательно устарела. На защите выгодно показать, что вы умеете работать с несколькими источниками данных, обосновывать модель ранжирования и считать метрики. Ниже — как превратить эту новость в осмысленную ВКР, а не в пересказ пресс-релиза.
Актуальность: вендоры уже поставляют такие связки, значит, задача тиражируемая и узнаваемая на защите. Цель: спроектировать сервис, который сводит результаты сканирования с данными ФСТЭК и формирует единый реестр уязвимостей.
Структура: Глава 1 — анализ стандартов и решений; Глава 2 — архитектура, ER-модель, алгоритм ранжирования; Глава 3 — тестирование, метрики, экономика.
Актуальность: сама статья показывает переход индустрии к многокритериальной оценке. Цель: построить и валидировать модель, которая снижает число «ложно критичных» задач.
Актуальность: данные ФСТЭК полезны только там, где уязвимость успевает попасть в релиз. Цель: автоматизировать блокировку сборок по заданному порогу риска.
Здесь новость из CNews работает как аргумент: если вы обосновываете выбор между зарубежным сканером и российским решением, ссылка на интеграцию с ФСТЭК — это фактор соответствия требованиям регулятора, а не маркетинг. Стройте сравнение по критериям, а не «по вайбу».
| Критерий | Что писать в ВКР | Источник обоснования |
|---|---|---|
| Источники данных об угрозах | CVSS, EPSS, БДУ ФСТЭК | документация вендора, нормативные акты |
| Формат обмена | JSON/XML, версионирование схемы | ТЗ, ГОСТ 34.602-89 |
| Масштабируемость | число активов, горизонт роста | расчётная часть |
| Требования ИБ | разграничение доступа, аудит действий | ISO/IEC 27005, внутренние регламенты |
Минимально жизнеспособный вариант: сборщик результатов сканирования → очередь сообщений → нормализатор → хранилище (PostgreSQL) → модуль скоринга → API и веб-панель. Не усложняйте: Kubernetes уместен, только если вы умеете объяснить, зачем он здесь, и подтвердить это нагрузочным тестом.
risk = w1 * normalized_cvss
+ w2 * epss_score
+ w3 * fstek_confidence
+ w4 * asset_criticality
где w1..w4 — веса, обоснованные экспертной оценкой
Важно: веса не берутся «из воздуха». Опишите метод (экспертный опрос, метод анализа иерархий, калибровка на исторических данных) — именно за это на защите ставят плюс.
Самая частая слабость дипломов по теме — красивый интерфейс и полное отсутствие измеримых результатов. Заранее определите, что считаете.
Если собрать реальный датасет не удаётся, используйте публичные наборы и синтетику, но честно опишите генерацию — это лучше, чем молчание.
1. Пересказ статьи вместо анализа. Текст пресс-релиза — это повод, а не содержание. Нужны ваши критерии, схема и расчёты. Как избежать: на каждое утверждение вендора — свой раздел с проверкой или сопоставлением.
2. Отсутствие метрик эффективности. «Работает быстрее» — не результат. Как избежать: задайте базовую линию (as-is) и целевую (to-be), сравните численно.
3. Игнорирование требований к оформлению. Даже сильная реализация теряет баллы без корректного ТЗ и приложений. Как избежать: оформляйте документацию параллельно с кодом, а не в последнюю ночь.
Нет. Достаточно интеграции с существующим: задача ВКР — архитектура и приоритизация, а не воспроизведение движка сканирования. Обоснуйте это в ограничениях работы.
Публичные выгрузки уязвимостей, демо-стенды, синтетические наборы с описанной методикой генерации. Главное — прозрачность: как собрали, сколько записей, какие допущения.
Зависит от кафедры. В большинстве случаев достаточно ядра: загрузка данных, скоринг, выдача приоритетов. Интерфейс — минимальный, но рабочий.
UML для поведения и компонентов, схема развёртывания — для инфраструктуры. Подпишите легенду и не смешивайте уровни абстракции на одном листе.
Источник: Security Vision усилила приоритизацию уязвимостей данными ФСТЭК России (опубликовано 2026-03-25)
```