Опубликовано: 16.08.2026 | Источник: SecurityLab (RSS)

```html

Threat Intelligence в дипломе: автоматизация анализа киберугроз на примере Mustang Panda

Пока мировые СМИ разворачивают репортажи, китайская группировка Mustang Panda уже использует горячую новость для рассылки фишинговых писем. По данным SecurityLab, злоумышленники встраиваются в информационную повестку быстрее, чем журналисты успевают написать статью. Для будущего IT-архитектора это знак: классические сигнатурные методы защиты устаревают. Нужны системы Threat Intelligence, которые автоматически собирают, обогащают и коррелируют данные об угрозах. В этой статье разберём, как превратить кейс Mustang Panda в сильную тему ВКР — от аналитической главы до тестирования прототипа.

Какие темы ВКР вырастают из статьи о Mustang Panda

Тема 1. Система Threat Intelligence для анализа новостной повестки

Актуальность: Mustang Panda атакует в течение часов после громких событий. Нужен модуль, который в реальном времени следит за новостными лентами и выделяет индикаторы компрометации.

Цель: разработать программный модуль автоматического извлечения и классификации IOC (индикаторов компрометации) из новостей.

Задачи:

• Провести обзор инструментов Threat Intelligence (OpenCTI, MISP, ThreatStream).
• Разработать алгоритм парсинга и нормализации текстов новостей.
• Создать коннектор для передачи данных в SIEM-систему.
• Оценить точность и полноту обнаружения индикаторов.

Возможная структура: Глава 1 — теория и анализ тактик Mustang Panda; Глава 2 — проектирование архитектуры модуля; Глава 3 — тестирование и экономическая оценка внедрения.

Тема 2. Прототип раннего обнаружения фишинга по модели MITRE ATT&CK

Актуальность: группировка применяет легитимные трекеры и лендинги, поэтому традиционные фильтры не спасают. Прототип должен сопоставлять поведение кампании с тактиками ATT&CK.

Цель: создать прототип, который уменьшает время от появления фишинговой страницы до блокировки.

Задачи:

• Проанализировать TTP (техники, тактики, процедуры) Mustang Panda.
• Построить базу правил категоризации MITRE ATT&CK.
• Разработать эмулятор фишинговой атаки для проверки.
• Сравнить метрики детектирования до и после внедрения.

Структура: Глава 1 — аналитика угроз и стандарты (MITRE ATT&CK, ISO/IEC 27001); Глава 2 — проектирование архитектуры; Глава 3 — реализация и испытания.

Тема 3. Интеграция OpenCTI и SIEM для автоматизированного реагирования

Актуальность: данные об угрозах быстро устаревают, если обрабатывать их вручную. Необходимо построить конвейер, который автоматически обновляет правила SIEM.

Цель: разработать плейбук автоматической загрузки IOC из OpenCTI в Splunk и настройки алертов.

Задачи:

• Сравнить функциональность OpenCTI и MISP.
• Спроектировать поток данных с использованием API-интерфейсов.
• Реализовать коннекторы и корреляцию событий.
• Провести нагрузочное тестирование пайплайна.

Структура: Глава 1 — анализ предметной области, ГОСТ 34.601, ГОСТ 34.602; Глава 2 — проектирование интеграционной шины; Глава 3 — внедрение и проверка.

Аналитическая глава: что сравнивать и как обосновывать стек

В аналитической части диплома нужно доказать, что вы выбрали не первый попавшийся инструмент, а решили конкретную проблему. Статья о Mustang Panda даёт критерий: скорость реакции на событие. Поэтому сравнивайте решения по функциональности и времени обработки. Например, OpenCTI vs MISP:

Для SIEM чаще всего сравнивают Splunk и ELK. В дипломе важно показать, что ELK легко разворачивается в контейнерах Kubernetes и не требует лицензирования, но Splunk даёт более точные корреляции. Если вы выбираете ELK — это аргумент для экономической главы: снижение TCO.

Не забывайте ссылаться на ключевые стандарты: ГОСТ 34.601–2003 (стадии автоматизированных систем) и ISO/IEC 25010 (качество программного продукта). Указание ГОСТов в аналитике — почти обязательное требование для ВКР.

FAQ: частые вопросы студентов

Обязательно ли писать код для ВКР по информационной безопасности?

Не обязательно, если тема исследовательская. Но реализованный прототип или макет значительно повышает шанс на высокую оценку. Достаточно написать скрипт на Python, который парсит новостной API и сверяет индикаторы со списками MISP.

Где брать данные для тестирования?

Используйте архив открытых IPC-каналов, дампы VirusTotal, массовые финансовые инциденты. Для статьи про Mustang Panda можно собрать датасет по упоминаниям их кампаний в открытых отчетах, например, у пятой компании Red Canary.

Как оформить UML-диаграммы, чтобы их приняли?

Используйте стандарт UML 2.5. Обязательно включите диаграмму вариантов использования (use case), диаграмму последовательности и диаграмму развёртывания (deployment). Подпишите каждую диаграмму и дайте к ней пояснение в тексте.

Сложно ли реализовать автоматизированную Threat Intelligence систему?

Можно выполнить в объеме учебного проекта: собрать RSS-ленты, применить простую классификацию и выгрузить алерты в Telegram. Сложность — не в парсинге, а в нормализации данных и настройке корреляции. Начните с минимального вертикального среза.

Проектная часть: архитектура и алгоритмы

В проектном разделе опишите, как устроена ваша система. Вот типичная схема конвейера Threat Intelligence:

1. Источники: RSS-ленты новостей, Telegram-каналы, выгрузки MISP.
2. Коннекторы сбора и нормализации (JSON → internal schema).
3. Обогащение: запросы к VirusTotal, Whois, DNS-сервисам.
4. Корреляция: match по правилам MITRE ATT&CK.
5. Доставка: генерация алертов в SIEM (Splunk/ELK).

Пример псевдокода для парсинга и проверки:

def process_news(item):
    text = normalize(item)
    domains = extract_domains(text)
    if check_virustotal(domains):
        ttp = classify(domains, MITRE_ATT_CK)
        if ttp:
            send_alert(ttp, text[:200])

В главе также опишите сценарий развертывания на Kubernetes с использованием OpenTelemetry для сбора метрик. Упомяните, что это повышает наблюдаемость системы, что соответствует рекомендациям SRE.

Тестирование и метрики: как проверить эффективность

Недостаточно сказать «работает». В дипломе должны быть метрики. Для Threat Intelligence важны:

Для интегрированной системы с OpenCTI и SIEM дополнительно измеряйте % ложных срабатываний при обработке 1000 событий. Нагрузочное тестирование выполните в локальном Kubernetes, снимая метрики через Prometheus.

Практические выводы: что вы получите в итоге

Работа над такой темой даст конкретные навыки:

• проектирование архитектуры интеграционных решений;
• работа с MITRE ATT&CK и современными TI-платформами;
• обоснование выбора стека на основе метрик и ГОСТ;
• оформление технического задания и пояснительной записки;
• настройка конвейеров, контейнеризация и мониторинг с Kubernetes и OpenTelemetry.

Эти компетенции ценятся на рынке и делают вашу работу защищаемой перед комиссией.

Типичные ошибки студентов

Чек-лист: что проверить перед сдачей

Источник: Когда хакеры работают быстрее журналистов. Китайская группа Mustang Panda и ее любовь к горячим темам (опубликовано 2026-03-18)

```