Опубликовано: 19.09.2026 | Источник: SecurityLab (RSS)

Анализ кибератак через фальшивые вакансии для ВКР: от OSINT-модели до SIEM-правил

В марте 2026 года в СМИ появилась показательная история: одна из самых результативных по последствиям кампаний, приписываемых северокорейским группировкам, держалась не на хитроумном эксплойте и не на zero-day, а на обычном объявлении о найме. Организаторы схемы действовали как «стартап»: писали соискателям от имени рекрутеров, вытягивали данные, а часть исполнителей затем устроилась в целевые компании легальным путём. Суд приговор уже вынес — но технический вывод от этого не меняется. Атака прошла там, где защита традиционно не смотрит: в переписке с HR, в резюме, в профиле на профессиональной платформе.

Для выпускника ИТ-направления это готовый материал для главы: тренд на перенос вектора атак из инфраструктуры в человеко-ориентированные процессы требует пересмотра привычных моделей угроз. Классическая триада «фаервол — антивирус — пароль» такую кампанию не видит в принципе, потому что вредоносного файла до момента трудоустройства может не быть вообще. Если вы думаете, как написать ВКР так, чтобы она не устарела через год, — начинать стоит именно с таких кейсов.

Почему фальшивая вакансия — это техническая задача, а не «просто развод»

Соблазн свести всё к человеческому фактору и написать работу на уровне «проводите инструктаж по информационной безопасности» есть почти у каждого второго студента. Такой диплом не защитится: жюри справедливо спросит, где здесь инженерия. Инженерия начинается, когда вы раскладываете атаку по формальным моделям.

• MITRE ATT&CK — техники T1585 (Establish Accounts), T1586 (Compromise Accounts), T1566 (Phishing), T1078 (Valid Accounts). Обратите внимание: финальная стадия кампании — это легальный доступ под валидной учётной записью, который SIEM не отличит от работы сотрудника без поведенческих правил.
• Cyber Kill Chain — даёт удобную раскадровку для второй главы: разведка (OSINT по сотрудникам), вооружение (фиктивные вакансии и аккаунты-двойники), доставка (мессенджер, почта, LinkedIn-подобные платформы), закрепление (трудоустройство или подряд), действия на цели.
• Модель нарушителя по ГОСТ Р 59795-2021 — раздел, который в 80% дипломов заполняют копипастой. Здесь его можно наполнить реальными типами: внешний нарушитель с легальным доступом к ресурсам организации.

Три темы ВКР, которые вырастают из этого кейса

Тема 1. Система выявления признаков социальной инженерии в корпоративном канале коммуникаций

Актуальность: кампания показала, что результативный вектор атаки проходит мимо технических средств защиты, регистрируясь только в переписке и календаре сотрудника.

Цель: разработать прототип модуля, который анализирует новые внешние контакты сотрудников и присваивает им риск-балл.

• собрать признаки компрометации (возраст домена, репутация адреса, шаблонные формулировки вакансии, несоответствие легенды);
• спроектировать хранилище событий и правила корреляции;
• реализовать парсер входящих обращений и расчёт риск-балла;
• оценить точность на размеченной выборке.

Структура: Глава 1 — анализ моделей угроз и обзор SIEM/SOAR-решений. Глава 2 — архитектура модуля, схема потоков данных, схема БД. Глава 3 — нагрузочное тестирование, метрики Precision/Recall, расчёт трудозатрат на внедрение.

Тема 2. Онтология и графовая модель для выявления фиктивных трудовых легенд

Актуальность: организаторы кампании годами поддерживали легенды — профили, портфолио, рекомендации. Это задача сопоставления сущностей, а не разовая проверка.

Цель: построить граф связей «аккаунт — домен — организация — устройство — платёжный реквизит» и алгоритм поиска аномальных кластеров.

• определить словарь сущностей и связей (с опорой на STIX 2.1);
• реализовать загрузку данных из открытых источников и внутренних логов;
• применить алгоритм обнаружения сообществ (Louvain, label propagation);
• верифицировать результаты на публичных датасетах.

Структура: Глава 1 — OSINT-методы и графовые СУБД. Глава 2 — концептуальная и логическая модель графа, схема загрузки. Глава 3 — эксперименты, метрики качества кластеризации, оценка ресурсоёмкости.

Тема 3. Оценка защищённости процесса найма как элемента ИС организации

Актуальность: процесс подбора персонала оказался вне периметра аудита, хотя напрямую влияет на кадровую и информационную безопасность.

Цель: разработать методику оценки рисков и организационно-технический регламент для процесса найма.

• описать процесс в нотации BPMN и выявить точки контроля;
• сопоставить контроли с ISO/IEC 27001 (разделы A.6, A.7) и NIST SP 800-61;
• сформировать матрицу рисков и предложить меры;
• оценить остаточный риск до и после внедрения мер.

Структура: Глава 1 — стандарты и практики ИБ в HR-контуре. Глава 2 — целевая модель процесса, ТЗ по ГОСТ 34.602-89. Глава 3 — расчёт рисков, экономическое обоснование.

Аналитическая глава: как обосновать выбор средств, а не перечислить их

Слабое место большинства работ — «обзор существующих решений» в виде списка из пяти вендоров без критериев. Превратить его в защищаемый раздел помогает простая схема: сначала сформулировать требования из модели угроз, потом показать таблицу сравнения, потом сделать вывод.

После такой таблицы вывод пишется в одну-две фразы: «для покрытия сценария выбрана комбинация SIEM + графового анализа, поскольку ни один класс решений не закрывает задачу целиком». Это уже аргументированное проектное решение, а не перечисление.

Проектная глава: от схемы до работающего контура

Архитектура и потоки данных

Минимальный жизнеспособный прототип содержит четыре слоя: приём (агенты, API, парсеры), нормализация в единую схему событий, аналитическое ядро (правила + граф), слой визуализации и оповещений. Диаграмму удобно рисовать в нотации C4 — уровень контейнеров даёт ровно тот объём детализации, который ожидают увидеть в пояснительной записке.

Правила обнаружения как артефакт работы

Сильная практика — вынести правила в отдельный раздел и показать их как код, а не как текст. Формат Sigma даёт переносимость между SIEM и хорошо смотрится в приложении к ВКР.

title: Внешний запрос с признаками фиктивной вакансии
logsource:
  category: email_gateway
detection:
  sender_new_domain:
    SenderDomain|age_days: '< 90'
  lookalike:
    SenderDomain|endswith:
      - '-hr.com'
      - '-talent.net'
  keywords:
    Subject|contains:
      - 'вакансия'
      - 'предложение о работе'
      - 'резюме'
  condition: sender_new_domain and lookalike and keywords
level: medium
tags:
  - attack.t1566
  - attack.t1585

Важно: в тексте работы рядом с каждым правилом должно быть указано, какую технику ATT&CK оно покрывает и какие ложные срабатывания ожидаются. Тогда на защите вы отвечаете не «я написал правило», а «правило покрывает T1566.001 с ожидаемым FPR не выше N%».

Тестирование: чем измерять эффективность системы защиты

Раздел тестирования — то место, где диплом получает оценку «отлично» или превращается в формальность. Для задач обнаружения метрики точности обязательны, но не единственны. Разделите их на две группы: качество детектирования и эксплуатационные характеристики.

Отдельно стоит описать методику формирования тестового набора. Самый честный вариант — взять публичные датасеты фишинговых кампаний, дополнить их синтетическими примерами и явно указать ограничения такого подхода. Это снимает типовой вопрос комиссии «а откуда вы взяли данные?».

Чему вы научитесь на такой работе

• Строить модель нарушителя и модель угроз не по шаблону, а из конкретного сценария атаки.
• Работать с MITRE ATT&CK как с инженерным инструментом: от техники до правила обнаружения.
• Обосновывать выбор стека через критерии и таблицу сравнения, а не через «популярность технологии».
• Проектировать потоки данных и нормализовать события из разнородных источников.
• Писать правила детектирования в Sigma и проверять их на размеченной выборке.
• Считать MTTD, MTTR, RTO/RPO и защищать эти числа перед комиссией.
• Оформлять техническую документацию по ГОСТ 34.602-89 и ГОСТ Р 59795-2021.

Типичные ошибки студентов

Вопросы, которые задают чаще всего

Обязательно ли писать работающий код для такой темы?

Не обязательно в полном объёме, но обязателен прототип хотя бы одного ключевого компонента — парсера, расчёта риск-балла или правила корреляции. Работа, где всё описано словами, редко выходит на «отлично»: комиссии нужен артефакт, который можно запустить.

Где брать тестовые данные, если нет доступа к реальной корпоративной переписке?

Три источника: публичные датасеты фишинговых писем, синтетические данные, сгенерированные по вашей же модели угроз, и открытые реестры доменов с историей регистрации. Обязательно опишите ограничения выборки — это сильный ход, а не слабость.

Как оформить диаграммы, чтобы они соответствовали требованиям кафедры?

Обычно достаточно трёх нотаций: BPMN для процессов, C4 (уровень контейнеров) для архитектуры, ER-диаграмма для хранилища. Каждую вынесите в приложение, а в тексте оставьте ссылку с краткой интерпретацией: что именно показывает схема и какой вывод из неё следует.

Насколько сложно реализовать такой прототип за семестр?

Реалистичный минимум — модуль приёма событий, база данных, набор из 5–7 правил и дашборд. Это около 120–150 часов работы при наличии базовых навыков Python и SQL. Если времени мало, сузьте задачу до одного канала коммуникаций вместо трёх.

Источник: Самая эффективная северокорейская кибератака оказалась просто объявлением о поиске работы (опубликовано 2026-03-25)