Cyberbezpieczeństwo należy do najszybciej rozwijających się kierunków technicznych. Obejmuje bezpieczeństwo sieci i systemów operacyjnych, kryptografię, bezpieczne programowanie, analizę złośliwego oprogramowania, informatykę śledczą, a także zarządzanie ryzykiem i zgodność z regulacjami. Praca dyplomowa z tego obszaru musi łączyć solidne podstawy techniczne z praktycznym eksperymentem, implementacją lub analizą. Jednocześnie, bardziej niż na jakimkolwiek innym kierunku, wymaga przestrzegania zasad etyki i prawa — testowanie zabezpieczeń cudzych systemów bez zgody jest przestępstwem, niezależnie od intencji. Ten poradnik pokazuje, jak zaplanować pracę inżynierską lub magisterską, która będzie wartościowa merytorycznie i bezpieczna dla autora.
Na tym kierunku łatwo ulec pokusie efektownego tematu, np. „włamania” do popularnej usługi czy opisu najnowszego ataku znanego z mediów. Promotorzy i recenzenci oceniają jednak przede wszystkim metodykę: czy problem jest dobrze zdefiniowany, czy środowisko badawcze jest opisane i powtarzalne, czy wyniki zostały rzetelnie zmierzone, a wnioski wynikają z danych. Dobra praca z cyberbezpieczeństwa przypomina raport z rzetelnie przeprowadzonego eksperymentu, a nie relację z przygody.
Wszelkie testy penetracyjne, skanowanie, próby wykorzystania podatności czy analiza złośliwego oprogramowania muszą odbywać się wyłącznie w środowisku, nad którym masz pełną kontrolę, albo na podstawie pisemnej zgody właściciela systemu z jasno określonym zakresem. W praktyce oznacza to laboratorium na maszynach wirtualnych, odizolowaną sieć testową, celowo podatne aplikacje szkoleniowe oraz platformy typu CTF przeznaczone do ćwiczeń. Nieuprawniony dostęp do systemu informatycznego, przełamywanie zabezpieczeń czy zakłócanie pracy sieci są w Polsce przestępstwami, a „cel naukowy” nie wyłącza odpowiedzialności.
Etyka dotyczy też publikacji wyników. Jeśli w trakcie pracy natrafisz na podatność w rzeczywistym oprogramowaniu, stosuj zasady odpowiedzialnego ujawniania: poinformuj producenta, daj mu czas na poprawkę i nie zamieszczaj w pracy gotowego exploita umożliwiającego atak. W pracach z udziałem ludzi, np. badaniach podatności na phishing czy ankietach o nawykach bezpieczeństwa, potrzebna jest świadoma zgoda uczestników i anonimizacja danych, a symulowane kampanie phishingowe w organizacji wymagają zgody jej kierownictwa. Przetwarzając dane osobowe, pamiętaj o wymaganiach RODO.
Temat powinien łączyć Twoje zainteresowania z dostępnymi zasobami. Jeśli dobrze programujesz, rozważ implementację narzędzia lub mechanizmu bezpieczeństwa i jego ocenę. Jeśli lepiej czujesz się w sieciach i systemach, wybierz porównanie konfiguracji, testy wydajności zabezpieczeń lub budowę laboratorium. Osoby zainteresowane organizacją i prawem mogą pisać o zarządzaniu ryzykiem, wdrażaniu norm i regulacji czy reagowaniu na incydenty w firmie.
Kluczowe jest zawężenie. „Bezpieczeństwo aplikacji webowych” to temat na podręcznik; „Porównanie skuteczności skanerów podatności w wykrywaniu błędów typu SQL injection w środowisku testowym” to temat na pracę inżynierską. Ustal z promotorem, czym praca się zakończy: działającym prototypem, wynikami pomiarów, procedurą, modelem ryzyka. Sprawdź też, czy potrzebny sprzęt i licencje są dostępne — wiele narzędzi ma wersje darmowe lub edukacyjne, ale niektóre testy wymagają mocnego komputera do wirtualizacji.
Przy tematach dotyczących ataków zawsze akcentuj stronę obronną: co z wyników wynika dla administratorów, programistów i użytkowników, jakie zabezpieczenia są skuteczne, jak wykrywać i ograniczać skutki incydentów. Taki układ jest lepiej odbierany przez komisję i pozostaje w zgodzie z etyką zawodu.
Praca inżynierska z cyberbezpieczeństwa zwykle ma charakter projektowo-implementacyjny lub eksperymentalny. W pierwszym przypadku tworzysz narzędzie, moduł lub konfigurację, a następnie weryfikujesz ich działanie testami. W drugim przygotowujesz środowisko, definiujesz scenariusze i mierzysz wyniki, np. odsetek wykrytych ataków, liczbę fałszywych alarmów, czas reakcji, narzut wydajnościowy. W pracy magisterskiej oczekuje się pogłębionej analizy: porównania kilku rozwiązań, uzasadnienia doboru metryk, oceny statystycznej i odniesienia wyników do aktualnych publikacji.
Najważniejsza jest powtarzalność. Opisz wersje systemów operacyjnych i narzędzi, konfigurację sieci, parametry maszyn wirtualnych, użyte zbiory danych i dokładne scenariusze testów. Dobrą praktyką jest umieszczenie skryptów i plików konfiguracyjnych w załączniku lub repozytorium, z pominięciem elementów, które mogłyby posłużyć do realnych ataków. Wyniki przedstawiaj w tabelach i na wykresach, a każdą liczbę opatruj komentarzem: co oznacza i jakie ma ograniczenia.
W tematach z uczeniem maszynowym pamiętaj o rzetelnym podziale danych na zbiór uczący i testowy, o niezbalansowanych klasach (ataków jest zwykle znacznie mniej niż ruchu normalnego) oraz o raportowaniu precyzji, czułości i miary F1, a nie tylko dokładności. Model, który osiąga 99% trafności na jednym zbiorze, może być bezużyteczny w realnej sieci — warto to uczciwie przedyskutować.
Nie każda praca z cyberbezpieczeństwa musi zawierać kod. Wartościowe są także prace dotyczące zarządzania bezpieczeństwem informacji: analiza ryzyka, projekt polityk bezpieczeństwa, plan ciągłości działania, procedury reagowania na incydenty. Tu metodyka opiera się na uznanych standardach — rodzinie ISO/IEC 27000, wytycznych organizacji normalizacyjnych i agencji ds. cyberbezpieczeństwa — oraz na rzetelnym zebraniu informacji w organizacji, np. przez wywiady, przegląd dokumentacji i ankiety. Wynikiem powinien być konkretny rejestr ryzyk, ocena ich poziomu i plan postępowania, a nie ogólne zalecenia.
Prace organizacyjne często łączy się z elementem technicznym, np. audytem konfiguracji wybranych systemów w porozumieniu z administratorem lub oceną dojrzałości procesów bezpieczeństwa według przyjętego modelu. Daje to pracy mocniejsze oparcie w faktach i pozwala sformułować rekomendacje uszeregowane według priorytetu, kosztu i wpływu na poziom ryzyka.
Do tematów, które obecnie szczególnie interesują promotorów, należą: bezpieczeństwo systemów sztucznej inteligencji i wykorzystanie AI zarówno przez obrońców, jak i atakujących, ochrona infrastruktury krytycznej i systemów przemysłowych, bezpieczeństwo łańcucha dostaw oprogramowania, kryptografia odporna na komputery kwantowe, bezpieczeństwo chmury i kontenerów, a także regulacje — dyrektywa NIS2, rozporządzenie DORA w sektorze finansowym czy wymagania dotyczące cyberbezpieczeństwa produktów. Coraz częściej pojawiają się też tematy z pogranicza techniki i społeczeństwa, takie jak dezinformacja, deepfake czy cyberprzemoc.
Pierwszym błędem jest praca będąca w istocie instrukcją obsługi narzędzia: kolejne zrzuty ekranu z programu do skanowania lub testów, bez pytania badawczego i bez interpretacji. Drugim — brak punktu odniesienia. Stwierdzenie, że system wykrył 80% ataków, niewiele znaczy, jeśli nie wiadomo, jak wypada na tle innych rozwiązań lub konfiguracji domyślnej. Trzecim — opieranie się na przestarzałych wersjach oprogramowania bez wyjaśnienia, dlaczego je wybrano, co podważa aktualność wniosków. Czwartym — rozdział teoretyczny przepisany z ogólnych materiałów o „rodzajach cyberataków”, który nie wiąże się z częścią praktyczną.
Pomocne jest prowadzenie dziennika laboratoryjnego od pierwszego dnia: daty, wersje, zmiany konfiguracji, nieudane próby i ich przyczyny. Taki zapis ułatwia napisanie rozdziału metodycznego, pozwala odtworzyć wyniki po awarii maszyny wirtualnej i daje gotowy materiał do dyskusji o ograniczeniach badania. Rób też regularne migawki maszyn wirtualnych i kopie zapasowe danych pomiarowych, aby jeden błąd konfiguracji nie przekreślił tygodni pracy.
Wstęp przedstawia problem, cel, zakres i tezę lub pytania badawcze. Część teoretyczna omawia zagrożenia i mechanizmy ochrony związane z tematem — zwięźle i tylko w zakresie potrzebnym do zrozumienia dalszych rozdziałów. Przegląd rozwiązań porównuje istniejące narzędzia, metody lub publikacje. Środowisko badawcze i metodyka opisuje laboratorium, scenariusze, metryki oraz zasady etyczne. Implementacja lub przebieg badań przedstawia wykonane prace. Wyniki i ich analiza zawierają pomiary oraz ich interpretację. Podsumowanie odpowiada na cel, wskazuje ograniczenia i możliwe kierunki rozwoju.
Bibliografia powinna łączyć literaturę akademicką z dokumentacją techniczną. Cennym źródłem są artykuły z konferencji i czasopism poświęconych bezpieczeństwu, dokumenty RFC, normy ISO/IEC, publikacje agencji ds. cyberbezpieczeństwa, bazy podatności (CVE, CWE), matryca technik atakujących MITRE ATT&CK oraz zestawienia OWASP dotyczące aplikacji webowych i systemów AI. Wpisy z blogów i fora mogą pomóc w zrozumieniu tematu, ale nie powinny być podstawą twierdzeń w pracy. Przy narzędziach podawaj wersję i datę dostępu do dokumentacji — w tej dziedzinie wszystko zmienia się bardzo szybko.
Komisja zwykle pyta o podstawy: triadę poufności, integralności i dostępności, różnicę między szyfrowaniem symetrycznym a asymetrycznym, działanie funkcji skrótu, podstawowe klasy podatności aplikacji webowych. Przygotuj się też na pytania o metodykę — dlaczego wybrano dane narzędzia i metryki, czy wyniki można przenieść na środowisko produkcyjne, jakie są ograniczenia laboratorium. Krótki film z demonstracją działania prototypu lub przebiegu testu w środowisku testowym bywa bardzo przekonujący, ale nie zastąpi zwięzłego omówienia wyników. Jeśli Twoja praca dotyczy ataków, podkreśl wnioski dla obrony i zasady etyczne, którymi się kierowałeś.
Cyberbezpieczeństwo wymaga jednoczesnej znajomości sieci, systemów, programowania, kryptografii i regulacji, a przygotowanie rzetelnego środowiska testowego potrafi zająć wiele tygodni. Jeśli potrzebujesz konsultacji przy doborze tematu, projektowaniu laboratorium, analizie wyników lub opracowaniu części teoretycznej, przejrzyj ogłoszenia autorów i konsultantów w naszym serwisie. Znajdziesz wśród nich specjalistów od bezpieczeństwa IT, którzy pomogą Ci dopracować pracę inżynierską lub magisterską zgodnie z zasadami etyki zawodowej.
Serwis korzysta z cookies do anonimowych statystyk odwiedzin. Uruchamiamy je wyłącznie po Twojej zgodzie. Szczegóły znajdziesz w polityce prywatności.