ВКР Оценка безопасности информационных систем с помощью тестирования на проникновение

Актуальность темы обусловлена ростом числа кибератак на корпоративные и государственные информационные системы. По данным Минцифры РФ, в 2025 году количество инцидентов ИБ выросло на 37% по сравнению с предыдущим годом. При этом более 60% атак происходят через уязвимости, которые можно было выявить с помощью регулярного тестирования на проникновение.

В условиях цифровизации экономики и перехода к «умным» системам, традиционные средства защиты (антивирусы, брандмауэры) уже не обеспечивают достаточный уровень защищённости. Пентест становится неотъемлемой частью стратегии кибербезопасности. Однако в учебных планах вузов, включая МИРЭА, часто не хватает практики по реальным сценариям атак и методам оценки уязвимостей, что затрудняет написание качественной ВКР.

По нашему опыту, более 80% студентов получают замечания по аналитической части и отсутствию практического подтверждения выводов. Особенно это касается работ, где пентест описывается только теоретически, без реального сканирования, эксплуатации уязвимостей и формирования отчёта.

Цель работы: разработка и практическая реализация методики оценки защищённости информационной системы с использованием тестирования на проникновение (пентеста) с последующим формированием рекомендаций по устранению выявленных уязвимостей.

Задачи работы:

• Проанализировать современные методики тестирования на проникновение (PTES, OSSTMM, NIST SP 800-115).
• Выбрать целевую ИС для анализа (например, корпоративная сеть ООО «АйТи Безопасность»).
• Провести пентест в соответствии с этапами: разведка, сканирование, эксплуатация, пост-эксплуатация.
• Зафиксировать выявленные уязвимости с помощью инструментов (Nmap, Metasploit, Burp Suite).
• Оценить уровень риска по шкале CVSS.
• Разработать рекомендации по повышению защищённости.
• Оформить отчёт по результатам пентеста в соответствии с требованиями ГОСТ Р 57580.1-2017.

Объект исследования: информационная система предприятия (например, корпоративная сеть ООО «АйТи Безопасность»).

Предмет исследования: процессы и методы оценки защищённости информационных систем с помощью тестирования на проникновение.

Структура ВКР должна соответствовать ГОСТ 7.32-2017 и методическим указаниям МИРЭА. Ниже — типовой план для темы «Оценка безопасности информационных систем с помощью тестирования на проникновение»:

1. Введение — обоснование актуальности, цели, задач, объекта, предмета, методов.
2. Глава 1. Теоретические основы тестирования на проникновение
   • Понятие и виды пентеста (чёрный, серый, белый ящик).
   • Нормативно-правовая база (ФЗ-152, ГОСТ Р 57580, NIST).
   • Методики пентеста: PTES, OSSTMM, OWASP Testing Guide.
3. Глава 2. Анализ защищённости ИС на примере ООО «АйТи Безопасность»
   • Описание объекта исследования.
   • Подготовка к пентесту: разрешение, скоп, цели.
   • Этапы тестирования: разведка, сканирование, эксплуатация, пост-эксплуатация.
   • Инструментарий: Nmap, Nessus, Metasploit, Burp Suite.
4. Глава 3. Разработка рекомендаций и формирование отчёта
   • Классификация уязвимостей (CVE, CVSS).
   • Рекомендации по устранению.
   • Шаблон отчёта по пентесту.
5. Заключение — итоги, достижение цели, практическая значимость.
6. Список источников — не менее 40 источников, из них 70% после 2020 г.
7. Приложения — скриншоты, логи, отчёт пентеста.

Ожидаемые результаты:

• Разработанная методика оценки защищённости ИС с использованием пентеста.
• Практический кейс с реальным сканированием и эксплуатацией уязвимостей.
• Отчёт по результатам тестирования с оценкой рисков по CVSS.
• Рекомендации по устранению уязвимостей.

Практическая значимость: полученные результаты могут быть использованы в реальных организациях для повышения уровня защищённости. Особенно это важно для малого и среднего бизнеса, где нет штатных специалистов по кибербезопасности. Работа также может служить основой для разработки внутренних регламентов по тестированию ИС.

По нашему опыту работы с МИРЭА и другими техническими вузами, в 2025 году мы проверили 150 работ и выявили 5 типичных ошибок в аналитической главе:

1. Отсутствие практической части — студенты описывают пентест теоретически, без реальных данных.
2. Неправильное оформление отчёта — игнорирование требований ГОСТ Р 57580.1-2017.
3. Устаревшие источники — более 50% ссылок до 2020 года.
4. Низкая уникальность — особенно в теоретических главах (ниже 80% в Антиплагиат.ВУЗ).
5. Несоответствие методичке вуза — например, в МИРЭА строго требуют нумерацию приложений по форме А, Б, В.

Наши эксперты учитывают все эти нюансы и помогают избежать замечаний научного руководителя.