Как провести свое первое security-исследование. Колонка Дениса Макрушина

Я сфор­мулиро­вал рекомен­дации по прин­ципу «один абзац — один инсайт» и рас­пре­делил их по раз­делам. Какие‑то инсай­ты могут при­годить­ся для учеб­но‑иссле­дова­тель­ской работы, какие‑то — для под­готов­ки пер­вого док­лада на кон­ферен­цию.

Ставим цели

Нач­нем с основно­го: хард­скил­лы в индус­трии необ­ходимы, но софт­скил­лы — это осно­ва прак­тичес­ки любой про­фес­сии, которая под­разуме­вает обще­ние с людь­ми. Поэто­му отно­сись к дип­лому не как к фор­маль­нос­ти, а как к средс­тву, которое про­качи­вает и хард­скил­лы (резуль­таты иссле­дова­ния — ути­литы, мет­рики, код), и софт­скил­лы (пред­став­ление этих резуль­татов — отче­ты, пре­зен­тации).

Эк­спер­ты не появ­ляют­ся на пус­том мес­те и рас­тут не в резуль­тате бес­сонных ночей, про­веден­ных за тех­ничес­кими иссле­дова­ниями, а в резуль­тате приз­нания сооб­щес­твом этих бес­сонных ночей. Вот почему ком­муника­ция и отчетность — это необ­ходимые эта­пы любого иссле­дова­ния. И любого про­екта. Да, и тво­его дип­ломно­го про­екта тоже.

Есть воз­можность получить быс­трый отклик на свое иссле­дова­ние: пост в бло­ге и пре­зен­тация на кон­ферен­ции. Сна­чала пост. Его текст поз­волит под­готовить сце­нарий для выс­тупле­ния. Если сму­щает выс­тупле­ние перед боль­шой ауди­тори­ей, соз­дай вебинар для сво­их дру­зей. Пусть это будет репети­цией тво­его док­лада перед боль­шим мероп­риятием. Нап­ример, перед защитой дип­лома.

Выс­тупле­ние на любом релеван­тном мероп­риятии — это хороший спо­соб получить обратную связь, завес­ти новых зна­комых и, воз­можно, най­ти пар­тне­ров по иссле­дова­тель­ской работе. В роли обыч­ного учас­тни­ка ты рис­куешь пот­ратить дра­гоцен­ное вре­мя в углу ком­наты с чаш­кой кофе и ноут­буком, а ста­тус спи­кера обя­зыва­ет вый­ти под свет софитов.

При­мер из моего опы­та: поез­дка на реги­ональ­ный BSides в Каире. Ито­ги док­лада:

1. Им­пакт: зна­комс­тво с экспер­тами EG-CERT и переда­ча отче­тов с уяз­вимос­тями и лан­дшаф­том угроз для реги­она.
2. Нет­воркинг: зарядил энер­гией сту­ден­тов мес­тных факуль­тетов Computer Science, теперь они хотят про­дол­жить обу­чение в нап­равле­нии ИБ.
3. Нет­воркинг: пос­тупил зап­рос о мен­торс­тве от талан­тли­вого сту­ден­та из Mansoura University для его под­готов­ки к док­ладу на кон­ферен­ции в сле­дующем году (поз­же рас­ска­жу, что из это­го получи­лось).
4. Ин­тегра­ция в сооб­щес­тво: пос­тупило приг­лашение в сос­тав Review Board мероп­риятия.

Ес­ли ты посеща­ешь кон­ферен­ции в онлай­не ради кон­тента, рекомен­дую перес­мотреть отно­шение к мероп­риятиям. Лич­ное при­сутс­твие всег­да при­дает им допол­нитель­ную цен­ность.

Выбираем тему

С при­чина­ми и мотива­ми разоб­рались. Теперь нуж­но опре­делить­ся с темой будущей работы. Давай для при­мера возь­мем ста­тис­тику рас­простра­нения тро­янов‑шиф­роваль­щиков. Вот что нам извес­тно об этом:

1. Хро­ноло­гия раз­вития это­го типа мал­вари демонс­три­рует взрыв­ной рост: от пары семей­ств в 2010-м до 20+ семей­ств еже­месяч­но к 2017-му.
2. Чис­ло атак шиф­роваль­щиков уд­воилось в 2021 году в срав­нении с 2020 годом.
3. Ско­рость раз­ворачи­вания шиф­роваль­щика в ском­про­мети­рован­ной инфраструк­туре уве­личи­вает­ся, что зна­читель­но сни­жает вре­мя, нуж­ное для реаги­рова­ния на инци­дент (в 2021 году у жер­твы было 92 часа, что­бы спас­ти свои дан­ные).
4. Сред­нее вре­мя прос­тоя инфраструк­туры и биз­нес‑про­цес­сов в резуль­тате атак вы­рос­ло с 15 часов в 2020 году до 22 часов в 2021-м (вре­мя — день­ги!).
5. Ущерб от атак шиф­роваль­щиков в 2021 году оце­нивал­ся в 20 мил­лиар­дов дол­ларов, а к 2031 году ожи­дает­ся ущерб в 265 мил­лиар­дов.

На осно­ве этих дан­ных получа­ем рецепт хорошей темы для кур­совой:

1. На­ходим зло­дея: берем наибо­лее острую проб­лему, которая меша­ет жить всем индус­три­ям, поль­зовате­лям.
2. Пре­пари­руем зло­дея: изу­чаем тех­ничес­кие осо­бен­ности, выделя­ем клю­чевые харак­терис­тики, ищем сла­бое мес­то.
3. Соз­даем анти­дот и не забыва­ем рас­ска­зать об этом в тек­сте работы.

Вкрат­це: опре­дели проб­лему, изу­чи сущес­тву­ющие решения, выяви их общий недос­таток и пред­ложи свой вари­ант его исправ­ления.

Пло­хая идея: поп­росить ChatGPT при­думать для тебя тему. Хорошая идея: поп­росить его же соб­рать матери­алы для уже выб­ранной темы. В чем раз­ница? В пер­вом слу­чае ты поз­воля­ешь алго­рит­му опре­делить судь­бу тво­ей работы. Во вто­ром слу­чае ты эко­номишь свое вре­мя на сбор и ана­лиз акту­аль­ных зна­ний по нап­равле­нию, которое задал сам.

Ес­ли все рав­но при­дет­ся тра­тить вре­мя на под­готов­ку дип­ломной работы, то почему бы не инвести­ровать это вре­мя в инте­рес­ный тебе про­ект? Даже если ты учишь­ся по нелюби­мому нап­равле­нию и готовишь­ся стать спе­циалис­том в неин­терес­ной тебе области (ну или за дип­ломом тебя прос­то отпра­вили родите­ли), то даже в этом слу­чае можешь син­тезиро­вать дип­ломную тему на осно­ве тре­бова­ний факуль­тета (или кафед­ры) и области тво­их инте­ресов.

Нап­ример, ты учишь­ся на спе­циалис­та по информа­цион­ной безопас­ности, но чувс­тву­ешь, что мог бы стать ком­позито­ром. Наб­росай обла­ко тегов: «защита», «музыка», «интеллек­туаль­ная собс­твен­ность», «утеч­ки ком­позиций», «пиратс­тво», «кибер­безопас­ность в музыкаль­ной индус­трии» и тому подоб­ное.

Вот тут за иде­ями быва­ет полез­но обра­тить­ся к генера­тив­ным алго­рит­мам.

Формулируем тему

Об­ласть иссле­дова­ний опре­деле­на. Теперь прис­тупа­ем к фор­мулиров­ке темы.

Есть минимум два спо­соба сфор­мулиро­вать тему пер­спек­тивно­го иссле­дова­ния. Мож­но про­вес­ти так называ­емый ана­лиз state of the art — изу­чить все дос­тупные опуб­ликован­ные работы в нуж­ном нап­равле­нии. Основные тре­бова­ния для этих работ: они дол­жны быть акту­аль­ными (пери­од акту­аль­нос­ти опре­деля­ешь сам) и релеван­тны­ми тво­ему нап­равле­нию. В про­цес­се ана­лиза выписы­вай источни­ки, даты пуб­ликации и авто­ров — все это при­годит­ся.

Ког­да будешь изу­чать источни­ки, возь­ми на воору­жение сай­ты ResearchGate и Google Scholar.

Там ты можешь най­ти работы, которые еще не опуб­ликова­ны в цитиру­емых науч­ных изда­ниях, но которые могут содер­жать какие‑то полез­ные для тебя арте­фак­ты: чер­новики, анно­тации к док­ладам, пос­ты в бло­гах и тому подоб­ное.

Нес­мотря на то что все иссле­дова­тель­ское сооб­щес­тво говорит на англий­ском язы­ке, про­ана­лизи­руй рос­сий­ские и китай­ские базы зна­ний. С этой задачей тоже неп­лохо помога­ет ChatGPT.

При чте­нии ста­тей обра­щай вни­мание на раз­дел «Зак­лючение», в котором содер­жатся выводы и пред­ложены вари­анты про­дол­жения работы. В этом раз­деле могут быть опи­саны огра­ниче­ния пред­ложен­ных авто­ром методов, алго­рит­мов и сис­тем. А для тебя эти огра­ниче­ния могут стать отправ­ной точ­кой в фор­мулиро­вании темы тво­его про­екта.

Са­мый инте­рес­ный под­ход к задаче — это спро­сить экспер­та, который пог­ружен в эту область и который пуб­ликовал резуль­таты сво­их про­ектов. Пом­нишь, что, помимо спис­ка источни­ков, я рекомен­довал делать спи­сок авто­ров? Вот теперь прой­дись по нему и опре­дели наибо­лее активно­го или инте­рес­ного тебе. Затем выходи с ним на связь любым удоб­ным обра­зом, что­бы обсу­дить тему сво­ей работы.

Прев­ратить авто­ра инте­рес­ного тебе про­екта в сво­его науч­ного руково­дите­ля или мен­тора — это та самая задача, которая может зна­читель­но улуч­шить твою работу.

Да и вооб­ще выбор науч­ного руково­дите­ля — это минимум треть успе­ха будущей работы. Поэто­му если по каким‑то при­чинам ты не можешь его най­ти на сво­ем факуль­тете или в уни­вер­ситете, то ищи в индус­трии.

Проводим исследования

Оп­ределил тему, сфор­мулиро­вал цель работы. Теперь надо делать.

Раз­дели под­готов­ку работы на эта­пы:

1. Со­дер­жание (клю­чевые раз­делы работы).
2. Пре­зен­тация (каж­дый заголо­вок слай­да — раз­дел работы).
3. К каж­дому слай­ду сде­лай ком­мента­рий, в котором будут основные тезисы.
4. Абс­тракт работы.
5. Ан­нотация или авто­рефе­рат.
6. От­чет.

Имен­но в этой пос­ледова­тель­нос­ти ты начина­ешь дви­жение от обще­го к час­тно­му.

Не­зави­симо от типа иссле­дова­ния его резуль­татом дол­жно стать но­вое зна­ние. Если ито­гом работы не будет что‑то новое, то автор прос­то попол­няет свал­ку извес­тных мыс­лей. Оставь это алго­рит­мам.

Да­же если задача тво­его про­екта не зак­люча­ется в раз­работ­ке нового метода или сис­темы, а пред­став­ляет собой обзор сущес­тву­ющих работ, то даже в этом слу­чае мож­но син­тезиро­вать новое зна­ние. Для это­го мож­но исполь­зовать сле­дующие методы ана­лиза и син­теза новых зна­ний.

State of the art (SOTA) — метод обзо­ра боль­ших объ­емов литера­туры, который поз­воля­ет изу­чить, почему и как раз­вивались наши текущие зна­ния, и пред­ложить новые нап­равле­ния иссле­дова­ний. Метод хорошо опи­сан в статье «State-of-the-art literature review methodology: A six-step approach for knowledge synthesis».

Об­зор, про­веден­ный методом SOTA, дает отве­ты на три воп­роса:

1. Где мы находим­ся сей­час?
2. Как мы сюда попали?
3. Ку­да мож­но дви­гать­ся даль­ше?

Review/Survey — метод обзо­ра литера­туры, который, в отли­чие от SOTA, охва­тыва­ет более широкий хро­ноло­гичес­кий срез и вклю­чает в себя как резуль­таты ана­лиза SOTA, так и исто­ричес­кое раз­витие объ­екта иссле­дова­ния. Дру­гими сло­вами, SOTA — это часть Review.

Прис­тупай к содер­жанию. Наб­росок оглавле­ния — это уже зна­читель­ная часть работы. Веро­ятно, у тебя получит­ся что‑то вро­де это­го:

1. Вве­дение
2. Опи­сание проб­лемы
3. Об­зор сущес­тву­ющих под­ходов к ее решению
   • 3.1. Кри­терии срав­нения под­ходов
   • 3.2. Срав­нение сущес­тву­ющих под­ходов по выб­ранным кри­тери­ям
   • 3.3. Опре­деле­ние наибо­лее удач­ного под­хода на осно­ве срав­нения. Опи­сание его клю­чевых огра­ниче­ний
4. Твои вари­анты улуч­шения выб­ранно­го под­хода
5. Зак­лючение

Ес­ли у тебя уже есть идеи, то прис­тупай к раз­делу 4. Чем быс­трее ты пой­мешь сос­тоятель­ность сво­его под­хода, метода и сис­темы иссле­дова­ния, тем быс­трее сфор­мулиру­ешь цен­ность работы. Затем смо­жешь оце­нить уни­каль­ность пред­ложен­ной тобой идеи при под­готов­ке раз­дела 3. И не начинай писать текст работы с вве­дения. Лирику оста­вишь на зак­лючитель­ный этап.

Как толь­ко в работе появи­лись резуль­таты, доказы­вающие сос­тоятель­ность тво­ей идеи, уже мож­но готовить анно­тацию (abstract). Это корот­кое (от одно­го до трех абза­цев тек­ста) опи­сание работы, дающее пол­ное пред­став­ление о цели и резуль­татах тво­его про­екта.

Ре­зуль­таты иссле­дова­ния получе­ны. Абс­тракт под­готов­лен. Теперь тебе нуж­но выб­рать кон­ферен­цию или митап и адап­тировать анно­тацию иссле­дова­ния в соот­ветс­твии с тре­бова­ниями выб­ранно­го мероп­риятия. Изу­чи информа­цию о тре­бова­ниях орга­низа­торов к подаче заявок, обыч­но они пуб­лику­ются на отдель­ной стра­нице.

Как выб­рать кон­ферен­цию, что­бы и тема тво­ей работы под­ходила, и бюд­жет на путешес­твие был дос­тупен? Мож­но начать с изу­чения ресур­са cfptime.org.

В пер­вую оче­редь под­держи свое локаль­ное сооб­щес­тво. Иног­да мес­тные мероп­риятия могут быть инте­рес­нее и теп­лее, чем меж­дународ­ные и гло­баль­ные тусов­ки. Об этом я уже рас­ска­зывал в дру­гом выпус­ке колон­ки.

Вы­бирай мес­тную кон­ферен­цию. Учас­твуй, собирай отзы­вы, затем совер­шенс­твуй свое иссле­дова­ние и подавай заяв­ку на учас­тие в мероп­риятии поболь­ше. Иссле­дуй, выс­тупай, обновляй, пов­торяй.

Как под­готовить хорошую заяв­ку на док­лад? Луч­ше узнать у опыт­ных чле­нов комис­сии, которая рас­смат­рива­ет заяв­ки. К при­меру, орга­низа­торы кон­ферен­ции Security Analysts Summit пос­вятили це­лый тред под­готов­ке качес­твен­ного абс­трак­та.

По­чему учас­тни­ки дол­жны посетить имен­но твой док­лад? Запиши ответ. Най­ди опыт­ного чле­на комис­сии, который может дать цен­ный совет по поводу тво­его док­лада или хотя бы тек­ста заяв­ки.

И напос­ледок: опре­дели стра­теги­чес­кую цель сво­его иссле­дова­ния. При­мер пло­хой пос­танов­ки цели: «получе­ние и совер­шенс­тво­вание навыков экс­плу­ата­ции XSS». Хорошая цель: «обна­ружить резуль­таты воз­дей­ствия XSS в сис­темах, которые ранее не под­верга­лись XSS-ата­кам». То есть во вто­ром слу­чае — син­тез ста­рой проб­лемы с новым кон­тек­стом.

Ес­ли твое иссле­дова­ние выяви­ло проб­лему, пом­ни об ответс­твен­ности. Опи­ши решение, дай рекомен­дации, помоги всем заин­тересо­ван­ным сто­ронам. Ты дела­ешь про­ект не для того, что­бы еще раз показать, что этот мир несовер­шенен.

«Преж­де все­го — не нав­реди».