Управление уязвимостями межсетевых экранов в ВКР: от CVSS 10.0 до защищаемой модели угроз

В конце марта 2026 года Amazon, разбирая собственные логи, случайно наткнулась на полный инструментарий группировки Interlock — от эксплойтов до скриптов развёртывания вымогателя. Виновником «окна возможностей» стала система управления межсетевыми экранами с уязвимостью CVSS 10.0: root без авторизации. У атакующих было шесть недель форы, пока кто-то заметил аномалию. Для выпускника по ИБ это не просто новость — это готовый каркас ВКР: от анализа угроз до расчёта MTTD/MTTR и обоснования контрмер. Ниже — как превратить реальный инцидент в защищаемую дипломную работу, а не в пересказ пресс-релиза. И да, если тема пока «плавает», помощь с дипломом по такой фактуре обычно занимает меньше времени, чем самостоятельная сборка модели угроз с нуля.

FAQ: что обычно спрашивают студенты по этой теме

Где брать данные по уязвимостям, если у меня нет доступа к реальному SOC?

Открытые источники никто не отменял: NVD (National Vulnerability Database) и CVE-фиды дают сырые метрики, MITRE ATT&CK — тактики атакующих, OWASP Top 10 — паттерны. Для эмуляции потока событий берётся публичный датасет, например CICIDS или логи из репозиториев Sigma. В разделе «Методика» честно укажите происхождение данных — комиссия это любит больше, чем «вымышленный лог за 3 месяца».

Можно ли взять кейс Interlock за основу, если вуз требует «свежести»?

Публикация — 29 марта 2026 года. Это буквально свежак. Дополнительный плюс: кейс содержит полную цепочку «уязвимость → эксплуатация → эскалация → вымогательство», что даёт вам три независимых источника актуальности (техническая, организационная, экономическая). Подробно про актуальность писать не нужно — сосредоточьтесь на измеримости.

Как считать CVSS, чтобы не «на глаз»?

Используйте официальный калькулятор FIRST.org и версию вектора v4.0 — она уже стандарт де-факто в 2026. Обязательно поясните, что CVSS — это базовая оценка, а не риск: риск = f(угроза, уязвимость, актив). Так вы защитите главу 2 от вопроса «а почему у вас 9.8 превратилось в 10?».

Что писать в главе 3, если реального стенда с межсетевым экраном нет?

Стройте имитационную модель: GNS3/EVE-NG + open-source межсетевой экран (pfSense, OPNsense), нагрузка — сценарии из MITRE Caldera. Метрики (MTTD, MTTR, доля автозакрытых инцидентов) считаются на смоделированных событиях. Комиссия принимает, если обоснован и воспроизводим.

Темы ВКР: карточки под ваш профиль

Тема 1. Модель управления уязвимостями парка межсетевых экранов на базе CVSS v4.0 и MITRE ATT&CK
Актуальность: инцидент Interlock показал, что уязвимость класса «root без авторизации» в системе управления фаерволом даёт атакующим фору в недели.
Цель: разработать процесс приоритизации патчей для NGFW с учётом критичности актива и наличия эксплойта в дикой природе.
Задачи (4): 1) анализ таксономии CVSS v4.0; 2) маппинг техник ATT&CK на классы фаервол-уязвимостей; 3) реализация скоринг-модели; 4) валидация на выборке CVE за 2024–2026.
Структура: Гл.1 — анализ предметной области и стандартов (ГОСТ Р 56545, ISO/IEC 27005); Гл.2 — проектирование модели и архитектуры (UML-диаграмма компонентов); Гл.3 — эксперимент, метрики, оценка эффективности.
Тема 2. Автоматизация патч-менеджмента межсетевых экранов: метрики MTTD и MTTR
Актуальность: шесть недель форы — это в первую очередь провал обнаружения, а не патчинга.
Цель: спроектировать pipeline автоматической доставки обновлений на парк фаерволов и посчитать сокращение MTTR.
Задачи: 1) обзор инструментов (Ansible, Terraform, CI/CD); 2) проектирование пайплайна по C4-модели; 3) реализация на стенде; 4) сравнение MTTR до/после.
Структура: Гл.1 — DevOps-практики в ИБ и обоснование; Гл.2 — архитектура пайплайна; Гл.3 — нагрузочное тестирование и расчёт экономии часов.
Тема 3. Имитационная модель реакции на root-компрометацию и развёртывание вымогателя
Актуальность: инструментарий Interlock утёк целиком — есть с чем строить сценарий.
Цель: построить BPMN-модель процесса реагирования с расчётом времени на каждом шаге.
Задачи: 1) анализ kill chain по кейсу; 2) формализация процесса в нотации BPMN 2.0; 3) симуляция в AnyLogic/BP Simulator; 4) выработка требований к SOC-плейбукам.
Структура: Гл.1 — теория реагирования на инциденты (NIST SP 800-61); Гл.2 — BPMN-модель; Гл.3 — эксперимент и рекомендации.

Как встроить кейс Interlock в главы ВКР

Глава 1 — не пересказывайте новость, а разбирайте её

Задача первой главы — показать, что вы умеете читать инцидент как инженер. Возьмите четыре факта: (1) класс актива — система управления межсетевыми экранами, (2) тип уязвимости — отсутствие аутентификации, (3) оценка CVSS 10.0, (4) время незамеченного присутствия — шесть недель. Для каждого постройте подраздел: какой стандарт его нормирует (ISO/IEC 27005 для риска, MITRE ATT&CK для TTP), какая метрика описывает (для пункта 4 — MTTD), какие контрмеры существуют. Это готовая мясная часть на 15–20 страниц, причём без «воды» — всё привязано к реальному событию.

Глава 2 — проектирование и диаграммы

Здесь три обязательных модели. Первая — UML-диаграмма последовательности, где атакующий эксплуатирует отсутствие аутентификации, добирается до управления фаерволом и разворачивает инструментарий (по мотивам Interlock). Вторая — C4-модель контейнеров вашей защищаемой архитектуры: SIEM, сканер уязвимостей, оркестратор патчей, сам патч-стор. Третья — BPMN-процесс реагирования с расчётным временем на каждом шаге. Диаграммы делаются в draw.io или PlantUML, в приложение выносите исходники — комиссия по нормоконтролю это отмечает отдельно.

Глава 3 — считайте метрики, а не только «работает / не работает»

Формулируйте измеримые гипотезы. Например: «автоматизация доставки патчей сокращает MTTR с X до Y часов при парке из N устройств». Ниже — минимальный скоринг-скрипт, который можно включить в приложение:

# приоритизация патчей по CVSS v4.0 + критичности актива
from dataclasses import dataclass

@dataclass
class Finding:
    cve: str
    cvss_score: float          # 0.0 – 10.0, из FIRST calculator
    exploit_in_wild: bool      # из EPSS / NVD
    asset_weight: float        # 0.7 / 1.0 / 1.5 из реестра активов

def explicit_risk(f: Finding) -> float:
    exposure = 1.6 if f.exploit_in_wild else 1.0
    return round(min(f.cvss_score * exposure * f.asset_weight, 10.0), 2)

# пример: тот самый класс уязвимости
root_no_auth = Finding("CVE-2026-XXXXX", 10.0, True, 1.5)
print(explicit_risk(root_no_auth))  # 10.0 — горит красным

Обратите внимание: скрипт считает не «CVSS», а риск. Это ровно то, что отличает зрелую ВКР от реферата. Если будете считать только CVSS — комиссия спросит про ложноположительные срабатывания и «зачем нам ещё один сканер».

Чему вы научитесь, пока делаете эту главу

Пять навыков, которые реально уносите с защиты в резюме:

Проектировать модель приоритизации уязвимостей с учётом бизнес-контекста актива.
Строить архитектурные схемы в C4 и BPMN — и защищать их перед комиссией.
Считать MTTD, MTTR и долю автозакрытых инцидентов на воспроизводимом стенде.
Связывать техники MITRE ATT&CK с классами уязвимостей (это уже уровень middle-аналитика SOC).
Оформлять приложение с кодом и диаграммами по ГОСТ 19.201 и ГОСТ 34.602 без переделок.

Чек-лист «Что проверить перед сдачей»

Задачи во введении дословно повторяются в выводах по главам и в заключении.
Все CVE-идентификаторы и оценки CVSS имеют ссылку на NVD/FIRST.
Диаграммы в тексте продублированы словесным описанием (требование ГОСТ 19.106).
Метрики (MTTD, MTTR, MTTF) имеют формулу и единицу измерения в приложении.
Приложение с кодом и исходниками PlantUML — отдельный файл, а не скриншот.
Список литературы: свежие источники 2025–2026 составляют ≥30%.
Антиплагиат: порог уникальности по методичке вуза, а не по рекламе сервиса.

Типичные ошибки студентов

1. Пересказ новости вместо анализа. Встречается чаще всего: глава 1 — конспект SecurityLab, глава 2 — словарь терминов. Комиссия видит это с первой страницы. Исправление: откройте один факт из статьи (например, «шесть недель форы»), превратите его в измеримую метрику MTTD и стройте вокруг неё всю работу.

2. Оценка риска через один CVSS. Студент берёт CVSS 10.0 и пишет «критично» — на защите получает встречный вопрос про контекст актива. Правильно: CVSS × признак эксплуатируемости × критичность актива, как в примере выше. Такая модель — уже половина главы 2.

3. Отсутствие воспроизводимой среды. «Я проверил на реальной СЗИ, но показать не могу» — это провал главы 3. Собирайте стенд в GNS3/EVE-NG, коммитьте конфиги в Git, показывайте комиссии репозиторий. Отсутствие реального SOC не оправдание — отсутствие стенда оправданием не считается.

Если по теме нужен более плотный разбор — например, с реальным стендом и готовой моделью угроз — заказать диплом под ключ по такому кейсу обычно занимает 100–120 часов работы эксперта. Мы это делаем с 2010 года и по ИБ — в том числе.

Решение, если времени нет

На написание полноценной ВКР по управлению уязвимостями уходит порядка 120 академических часов: анализ источников, стенд, метрики, нормоконтроль. Если до сдачи осталось меньше — начните с бесплатной консультации: мы разберём вашу тему, покажем, какие данные есть в открытом доступе под ваш вуз, и подскажем, чего не хватает для защиты. Как написать ВКР по ИБ — задача решаемая, если правильно расставить этапы.

Материал подготовлен экспертами компании «ПрофВКР». Мы помогаем студентам с 2010 года. Если вам нужна помощь в разработке темы или оформлении работы, наши специалисты готовы подсказать по архитектуре, метрикам и нормоконтролю — без готовых шаблонов и без «работы из базы».

Последнее обновление: 2026-10-21

Источник: CVSS 10.0, root без авторизации и шесть недель форы у вымогателей. Amazon случайно нашла весь инструментарий Interlock (опубликовано 2026-03-29)

```