В этом пункте объясняется, почему анализ киберугроз связан с повседневным использованием цифровых устройств и сетевых сервисов. Формулируются проблема, цель и задачи проекта, определяются объект и границы исследования, а также указывается, что практический пример будет учебным и не предназначен для атак на реальные системы.

Раздел знакомит с фишингом, вредоносными программами, подбором паролей и сетевыми атаками. Для каждого вида рассматриваются возможные признаки и источники данных, по которым его можно обнаружить. Это позволяет объяснить, какие события могут стать объектом анализа, не публикуя инструкции по проведению атак.

В разделе описываются данные, признаки, разметка, обучение и классификация — основные понятия, необходимые для понимания учебной модели. Объясняется разница между обучающими и тестовыми примерами, а также то, почему алгоритм выявляет статистические закономерности, а не понимает намерения пользователя так, как человек.

Здесь рассматривается, какие характеристики событий могут использоваться для анализа и как подготовить данные без раскрытия личной информации. Обсуждаются качество разметки, пропуски, смещения и риск утечки данных между выборками. Пункт также устанавливает границы безопасного исследования: применяются только открытые или искусственно подготовленные примеры.

Практическая часть начинается с выбора безопасного набора данных и описания его происхождения, структуры и категорий. Участник проверяет полноту записей, приводит признаки к удобному виду и отделяет материалы для обучения от примеров для проверки. Все преобразования фиксируются, чтобы ход эксперимента можно было повторить и объяснить.

В этом пункте описываются выбранный алгоритм, используемые признаки и последовательность обучения модели. Прототип должен решать ограниченную учебную задачу: относить подготовленные записи к условно нормальным или подозрительным. Отдельно указывается, что модель не подключается к реальной сети и не выполняет блокировку пользователей или устройств.

Раздел посвящён сравнению предсказаний модели с известной разметкой на тестовых данных. Рассматриваются верные ответы, пропуски угроз и ложные срабатывания; при необходимости используются точность, полнота и F1-мера. Результаты интерпретируются с учётом размера и особенностей набора, поэтому выводы не распространяются автоматически на реальные сети.

В пункте анализируется, почему результаты модели могут быть ошибочными: данные бывают неполными, атаки меняются, а признаки могут встречаться и у обычных действий. Объясняется роль специалиста, повторного тестирования и защиты исходных данных. Также подчёркивается, что учебный прототип служит для изучения принципов и не заменяет полноценную систему безопасности.

В заключении кратко сопоставляются поставленные задачи и результаты теоретической и практической частей. Указывается, удалось ли обучить и проверить прототип, какие ошибки были обнаружены и что они показывают о качестве данных и модели. Итоговые положения формулируются осторожно: учебный эксперимент демонстрирует принцип анализа, но не доказывает готовность системы к реальному применению.

В списке приводятся использованные учебники, научно-популярные и официальные материалы по машинному обучению, информационной безопасности и работе с данными. Для интернет-источников указываются организация или автор, название страницы и дата обращения. Перечень помогает проверить определения, методику и сведения о киберугрозах, использованные в проекте.