Анализ шпионского C2-трафика для ВКР: обнаружение угроз без сигнатур
Группировка MuddyWater снова напомнила о себе: иранские операторы разворачивают каналы управления внутри обычного, ничем не примечательного сетевого трафика — легитимные домены, стандартные порты, штатные протоколы. Никаких вирусов в привычном смысле, просто «работаем». Именно такие кейсы превращают диплом по информационной безопасности из пересказа учебника в защищаемое исследование. Почему? Потому что классическая сигнатурная защита здесь пасует, а вам нужно предложить механизм, который ловит аномалию там, где её никто не ждёт. Ниже — как встроить этот сюжет в главы ВКР, какие метрики считать и что положить в приложения, чтобы комиссия увидела инженерную работу, а не компиляцию статей. Материал рассчитан на студентов, которые уже определились с поддоменом «Кибербезопасность», но ещё ищут рабочий каркас.
Частые вопросы до старта работы
Где взять данные, если у меня нет доступа к реальной корпоративной сети?
Официальные датасеты: CIC-IDS2017, UNSW-NB15, Malware-Traffic-Analysis, в которых есть размеченные сессии с постэксплуатационной активностью. Для сценариев, похожих на кейс MuddyWater, дособирайте в изолированном стенде: две виртуалки, минимальный SOC, туннель через DNS или HTTPS — и получите собственный PCAP-корпус. Это будет сильнее любого публичного набора, потому что вы сами опишете методику его сбора.
Как считать эффективность системы, если нет промышленной разметки?
Используйте базовые метрики: precision, recall, F1, FPR, среднее время обнаружения (MTTD) и число ложных срабатываний на 10 000 сессий. Размечайте вручную по MITRE ATT&CK — для техник T1071 (Application Layer Protocol) и T1573 (Encrypted Channel) это решается за пару вечеров даже на датасете в 50 тысяч событий.
Можно ли строить ВКР только на open-source?
Да, и это плюс. Zeek, Suricata, Elastic Stack, Arkime, RITA — набор покрывает всю цепочку «сбор → нормализация → детект → визуализация». Комиссия ценит воспроизводимость: если вы даёте docker-compose стенда и скрипты разметки, работа выглядит профессионально без коммерческих лицензий.
Как оформлять схемы, чтобы не придрались на нормоконтроле?
Архитектуру — по C4 (контекст и контейнеры), процессы реагирования — BPMN 2.0, структуры данных — UML class. Схемы алгоритмов — по ГОСТ 19.701-90, иерархию системы — по ГОСТ 34.601. Один рисунок — одна идея, подпись снизу, ссылка в тексте обязательна.
Три темы ВКР, которые реально защищаются
-
Тема 1. Обнаружение C2-каналов в легитимном трафике методами машинного обучения.
Актуальность: кейс MuddyWater показал, что сигнатурные IDS не видят шпионаж, замаскированный под обычные HTTPS/DNS-сессии.
Цель: построить классификатор, различающий штатный и управляемый трафик по поведенческим признакам.
Задачи: 1) обзор техник маскировки по MITRE ATT&CK; 2) формирование признаков (jitter, объём, периодичность, JA3/JA3S); 3) обучение и валидация моделей; 4) оценка FPR на чистом трафике.
Структура: Глава 1 — анализ угроз и существующих NDR; Глава 2 — проектирование пайплайна детекта и реализация на Python + Zeek; Глава 3 — эксперименты и метрики. -
Тема 2. NDR-система для выявления туннелирования через DNS и HTTPS.
Актуальность: иранская группировка активно использует DNS-туннели и легитимные облачные сервисы как транспорт.
Цель: спроектировать и развернуть систему сетевого мониторинга с эвристиками на аномалии.
Задачи: 1) анализ протоколов; 2) правила Suricata + скрипты Zeek; 3) интеграция с Elastic; 4) дашборды и алертинг.
Структура: Глава 1 — теоретическая база NDR; Глава 2 — архитектура по C4 и конфигурации; Глава 3 — тестирование на PCAP и оценка MTTD. -
Тема 3. Методика оценки защищённости корпоративной сети по ISO/IEC 27001 с учётом LOTL-атак.
Актуальность: атаки «живут за счёт штатных средств» — значит, аудит должен проверять не наличие антивируса, а зрелость мониторинга.
Цель: разработать чек-лист и метрики оценки устойчивости к бесфайловым вторжениям.
Задачи: 1) маппинг контроля ISO/IEC 27001 на техники ATT&CK; 2) пилотный аудит стенда; 3) рекомендации; 4) оценка эффекта.
Структура: Глава 1 — стандарты и модель угроз; Глава 2 — методика и инструмент; Глава 3 — апробация и выводы.
Как встроить кейс в главы: практический разбор
Глава 1. Модель угрозы и маппинг на MITRE ATT&CK
Откройте материал SecurityLab и выпишите ключевые признаки: маскировка под легитимные сервисы, отсутствие файловых артефактов, использование штатных утилит (LOTL). Постройте таблицу соответствия — одна колонка «наблюдаемое поведение», вторая «техника ATT&CK», третья «контрмера». Это уже половина первой главы.
| Поведение в сети | Техника ATT&CK | Контрмера | Метрика |
|---|---|---|---|
| Периодические HTTPS-запросы фиксированного размера | T1071.001 (Web Protocols) | Анализ beaconing через Zeek | Recall, FPR |
| Длинные DNS-запросы с base32-строками | T1071.004 (DNS) | Эвристика энтропии поддомена | Precision, F1 |
| Использование PowerShell/ WMI без файлов на диске | T1059.001 | Логирование и Sigma-правила | MTTD |
Глава 2. Архитектура и реализация
Опишите контейнеры системы по C4: сборщик (Zeek/Suricata), нормализатор, движок правил, хранилище (Elasticsearch), визуализация (Kibana). Ниже — фрагмент правила Suricata, который ловит подозрительно длинные DNS-поддомены (типовой признак туннеля).
alert dns any any -> any 53 (
msg:"Possible DNS tunneling - long subdomain";
dns.query; content:".";
pcre:"/^[a-z0-9]{40,}\./i";
threshold: type limit, track by_src, count 5, seconds 60;
classtype:trojan-activity; sid:1000001; rev:1;
)
Правило намеренно простое — в главе 3 вы покажете, как меняются precision и recall при варьировании порога. Скрипт для расчёта метрик можно оформить как отдельный модуль на Python с разбиением train/test по дням, а не по записям — иначе получите утечку данных и завышенные результаты.
Глава 3. Эксперименты и визуализация
Соберите дашборд в Elastic Stack: топ источников по DNS-энтропии, временные ряды beaconing, карту внешних ASN. Скриншоты интерфейса — в приложение, в текст главы — только числовые результаты. Диаграмму процесса реагирования нарисуйте в BPMN 2.0: событие → триаж → эскалация → блокировка → разбор. Так вы закрываете требование о практической значимости.
Чему вы научитесь
- Проектировать NDR-конвейер от PCAP до алерта и описывать его по C4.
- Считать корневые метрики детекта и защищать численные результаты перед комиссией.
- Сопоставлять реальное поведение атакующих с матрицей MITRE ATT&CK.
- Оформлять техническую документацию и схемы по ГОСТ 34 и ГОСТ 19.
- Строить воспроизводимый стенд на open-source без коммерческих лицензий.
- Задачи из введения дословно совпадают с выводами и авторефератом.
- Каждая схема пронумерована, подписана и упомянута в тексте.
- Метрики (precision, recall, F1, FPR, MTTD) приведены на тестовой выборке, а не только на обучающей.
- Все внешние источники оформлены по ГОСТ Р 7.0.5-2008, ссылки кликабельны там, где требует вуз.
- Листинги кода вынесены в приложения, в тексте — только ключевые фрагменты.
- Уникальность текста проверена, технические термины не «разбавлены» синонимами ради антиплагиата.
- Стенд воспроизводится с нуля по инструкции из главы 2.
- Ставка только на сигнатуры. В кейсе MuddyWater это не работает: атакующий не оставляет артефактов, а трафик выглядит штатным. Дополните сигнатурный детект поведенческими эвристиками и статистикой.
- Метрики без базовой линии. Если вы не показали FPR на чистом трафике, любая точность модели ничего не значит. Считайте ложные срабатывания на контрольном наборе.
- Игнорирование юридической части. Сбор PCAP в реальной сети требует согласия и соблюдения 152-ФЗ. В ВКР опишите, что использовали изолированный стенд или публичные датасеты.
Источник: Никаких вирусов. Просто работаем. Иранские спецслужбы превратили обычный сетевой трафик в инструмент шпионажа (опубликовано 2026-03-24)