Опубликовано: 14.09.2026 | Источник: CNews (новости)

Интеграция SOAR с Threat Intelligence в дипломе: от плейбуков до измеримой эффективности

24 марта 2026 года R-Vision и CyberThreatTech заявили о технологическом партнёрстве. Разработчик SIEM/SOAR-платформы и поставщик киберразведки объединяют усилия, чтобы обогащать события в SOC внешними фидами угроз и ускорять реагирование. Что это значит для выпускника? Огромный пласт тем, который можно превратить в защищаемую ВКР — причём не в «обзорную», а с прототипом, метриками и понятной архитектурой. Разберём, как встроить эту повестку в диплом по информационной безопасности и получить работу, а не просто оценку.

Частые вопросы студентов по теме

Три темы ВКР, которые можно развернуть из новости

• Тема 1. Обогащение событий SIEM данными киберразведки (TIP-коннектор).
  Актуальность: партнёрство R-Vision и CyberThreatTech прямо про то, как фиды угроз повышают качество детекта.
  Цель: спроектировать и реализовать модуль обогащения IOC между SIEM и TIP с оценкой прироста точности.
  Задачи: 1) анализ форматов STIX/TAXII и требований ISO/IEC 27001 к обработке данных; 2) проектирование коннектора (C4 + UML sequence); 3) реализация на Python с кэшем и rate-limit; 4) измерение precision/recall детекта до и после.
  Структура: Гл.1 — обзор TIP и SIEM-ландшафта; Гл.2 — архитектура и реализация; Гл.3 — тестирование на MISP-стенде, метрики.

• Тема 2. Автоматизация реагирования: библиотека SOAR-плейбуков под MITRE ATT&CK.
  Актуальность: автоматические плейбуки — ядро современного SOC, а интеграция с разведкой сокращает ручную работу аналитика.
  Цель: разработать набор плейбуков (фишинг, brute-force, эксфильтрация) и оценить снижение MTTR.
  Задачи: 1) маппинг сценариев на техники MITRE; 2) проектирование workflow (BPMN); 3) реализация в SOAR-движке или на оркестраторе; 4) нагрузочное тестирование и расчёт экономии человеко-часов.
  Структура: Гл.1 — теория SOAR и процессы IR; Гл.2 — проектирование плейбуков; Гл.3 — стенд, эксперимент, оценка.

• Тема 3. Оценка качества threat intelligence фидов: метрики и методика.
  Актуальность: вместе с ростом числа источников растёт шум, и задача отбора релевантных фидов становится критичной.
  Цель: построить методику скоринга TI-источников по полноте, актуальности и ложноположительности.
  Задачи: 1) обзор стандартов (ISO/IEC 25010 применительно к качеству данных); 2) определение метрик и весов; 3) реализация скорера на датасете IOC; 4) валидация на живом потоке.
  Структура: Гл.1 — качество данных и TI; Гл.2 — модель оценки; Гл.3 — эксперимент и выводы.

Как встроить эту повестку в главы работы

Глава 1. Аналитика: где выигрывает новость

Партнёрство R-Vision и CyberThreatTech — отличный «отраслевой маркер» во введении и первой главе. Он показывает, что направление живёт не только на бумаге: вендоры строят продуктовые связки. В обзоре литературы сравните три подхода к обогащению инцидентов — ручной поиск, локальный MISP и коммерческий TIP. Приложите таблицу сравнения по критериям: покрытие IOC, задержка обновления, стоимость, интеграция с SIEM. Диаграмму контекста построите в нотации C4 Level 1 — она понятна комиссии и не перегружена деталями.

Глава 2. Проектирование и реализация

Здесь важна декомпозиция. Коннектор к разведке — это не «скрипт на коленке», а компонент с четкими контрактами. Покажите UML sequence для сценария «получен алерт → извлечён IOC → запрос в TIP → добавлен контекст → решение плейбука». Ниже — минимальный скелет воркера обогащения, который можно защитить как фрагмент листинга в приложении.

import asyncio, httpx
from functools import lru_cache

TAXII_COLLECTION = "https://tip.example/taxii2/collections/attack-iocs/objects/"

@lru_cache(maxsize=4096)
def _lookup_cache(ioc: str) -> dict | None:
    return None  # заглушка, реальный кэш — Redis с TTL по типу IOC

async def enrich_ioc(ioc: str, kind: str) -> dict:
    cached = _lookup_cache(ioc)
    if cached:
        return cached
    async with httpx.AsyncClient(timeout=5.0) as cli:
        r = await cli.get(TAXII_COLLECTION, params={"match[value]": ioc})
        r.raise_for_status()
        data = r.json()
    return {
        "ioc": ioc,
        "type": kind,
        "reputation": data.get("score", 0),
        "sources": data.get("source_names", []),
        "first_seen": data.get("first_seen"),
    }

async def handle_alert(alert: dict) -> dict:
    iocs = alert.get("observables", [])
    enriched = await asyncio.gather(*(enrich_ioc(i["value"], i["type"]) for i in iocs))
    alert["ti_context"] = enriched
    alert["priority"] = "high" if any(e["reputation"] > 70 for e in enriched) else alert["priority"]
    return alert

Обратите внимание: кэш с TTL, таймауты, асинхронность и явная схема данных. Именно такие детали отличают курсовую от ВКР. В пояснительной записке обязательно опишите, как решение соотносится с требованиями ISO/IEC 25010 — например, по характеристикам performance efficiency и security.

Глава 3. Эксперимент и метрики

Стенд можно собрать на одном узле: MISP (TIP), OpenSearch/Wazuh (SIEM), n8n или Shuffle (SOAR), плюс генератор событий Atomic Red Team. Замерьте до/после внедрения обогащения:

Числа у вас будут свои — важно показать методику. Обязательно укажите, как формировали выборку, сколько прогонов делали и какие допущения принимали. OWASP Top 10 тут вторичен, но если в плейбуке фигурирует обработка веб-логов, уместно связать сценарии с категорией A09 (Security Logging and Monitoring Failures).

Чему вы научитесь на такой ВКР

• Проектировать коннекторы между SIEM, TIP и SOAR с учётом задержек и отказоустойчивости.
• Строить C4- и UML-диаграммы, пригодные для защиты, а не «для галочки».
• Формулировать метрики ИБ (MTTD, MTTR, FPR) и защищать методику их расчёта.
• Работать с STIX/TAXII и решать практические задачи обогащения IOC.
• Оформлять ТЗ и разделы по ГОСТ 34/19, проходя нормоконтроль с первого раза.

Источник: R-Vision и CyberThreatTech объявили о технологическом партнёрстве (опубликовано 2026-03-24)