Jak napisać pracę magisterską z cyberbezpieczeństwa i kryptografii

Praca magisterska z cyberbezpieczeństwa to nie jest zwykły tekst akademicki. To dokument, który musi udowodnić, że potrafisz myśleć jak atakujący i bronić się jak specjalista. Promotorzy w tym obszarze oczekują środowiska testowego, konkretnych wyników pomiarów i znajomości aktualnych norm. Brak izolowanej sieci laboratoryjnej albo powołanie się na przestarzały standard to w recenzji czerwona flaga.

Ten poradnik pokazuje, jak przejść przez każdy etap, od wyboru tematu po obronę, bez typowych błędów, które wracają w recenzjach.

Specyfika kierunku: co musisz wiedzieć na starcie

Zakres tematyczny

Cyberbezpieczeństwo jako dyscyplina akademicka obejmuje kilka wyraźnie oddzielnych obszarów, a Twoja praca powinna wyraźnie wskazywać, w którym z nich operujesz.

Bezpieczeństwo sieci to firewalle, systemy wykrywania intruzów (IDS), systemy zapobiegania intruzjom (IPS) oraz platformy SIEM (Security Information and Event Management). Każdy z tych komponentów generuje własne logi i wymaga innego podejścia analitycznego.

Kryptografia dzieli się na:
– symetryczną (AES-256-GCM, ChaCha20-Poly1305) – szybką, używaną do szyfrowania danych w spoczynku i w tranzycie
– asymetryczną (RSA-4096, ECDSA z krzywą P-256/Ed25519) – wolniejszą, ale eliminującą problem dystrybucji kluczy
– protokoły (TLS 1.3, SSH Ed25519/ECDH) – zestawiające bezpieczne kanały komunikacji

Kryptografia post-kwantowa to osobny, szybko rosnący obszar. NIST w sierpniu 2024 r. opublikował finalne standardy: FIPS 203 (CRYSTALS-Kyber, teraz ML-KEM do enkapsulacji kluczy), FIPS 204 (CRYSTALS-Dilithium, teraz ML-DSA do podpisów cyfrowych) i FIPS 205 (SPHINCS+, teraz SLH-DSA). Praca porównująca wydajność tych algorytmów z RSA-2048 lub ECDH-P256 jest teraz bardzo na czasie.

Testy penetracyjne to metodyczna próba włamania do systemu za zgodą właściciela. Obejmują: rekonesans, skanowanie, exploitation, post-exploitation i raport. Brak raportu z rekomendacjami to nieskończony pentest.

Bezpieczeństwo aplikacji webowych bazuje na OWASP Top 10 (edycja 2021 jest aktualnie obowiązująca) i obejmuje wstrzyknięcia SQL, XSS, CSRF, IDOR, błędne konfiguracje uwierzytelniania.

Digital forensics to zbieranie i analiza dowodów cyfrowych w sposób dopuszczalny proceduralnie.

Steganografia ukrywa informacje w nośnikach (obrazy JPEG/PNG, audio WAV, wideo), a jej analiza wymaga narzędzi statystycznych: chi-kwadrat, SPA (Sample Pair Analysis), StegExpose.

Blockchain w kontekście bezpieczeństwa to m.in. smart contract audits, ataki 51%, analiza transakcji.

Gdzie szukać promotora i kontekstu instytucjonalnego

W Polsce cyberbezpieczeństwo akademickie skupia się w kilku miejscach:
– Politechnika Wrocławska – Katedra Kryptografii, silna tradycja algorytmiczna
– AGH w Krakowie – Wydział Informatyki i Telekomunikacji
– WAT (Wojskowa Akademia Techniczna) – Wydział Cybernetyki, profil wojskowo-obronny
– NASK/CERT Polska – nie prowadzi studiów, ale publikuje raporty o zagrożeniach, które warto cytować
– SKW i ABW (CSIRT.GOV) – instytucje państwowe odpowiedzialne za cyberbezpieczeństwo RP
– ENISA (Agencja UE ds. Cyberbezpieczeństwa) – publ. roczne raporty o krajobrazie zagrożeń (ENISA Threat Landscape)

Znajomość tych instytucji to nie dekoracja. Jeżeli cytujesz raport CERT Polska 2023 jako źródło statystyk o atakach phishingowych w Polsce, recenzent widzi, że wiesz, skąd biorą się dane.

Tematy prac magisterskich: co warto badać

Dobry temat z cyberbezpieczeństwa ma jedną cechę: da się go zmierzyć. Poniżej kilka konkretnych propozycji z metodologią.

Analiza podatności TLS 1.2 vs TLS 1.3

Porównanie obu wersji protokołu z pomiarem latencji handshake w środowisku kontrolowanym (Wireshark + tc netem do symulacji opóźnień sieciowych). TLS 1.3 eliminuje RSA key exchange i wymaga ECDHE/DHE, przez co zapewnia forward secrecy dla każdej sesji. TLS 1.2 obsługuje zestawy szyfrowania bez PFS (np. TLS_RSA_WITH_AES_128_CBC_SHA).

Hipoteza badawcza: czy redukcja liczby round-tripów w TLS 1.3 (1-RTT zamiast 2-RTT) przekłada się na mierzalne skrócenie czasu nawiązania połączenia przy różnych kondycjach sieci?

Progowy schemat podpisu cyfrowego

Implementacja (t-of-n): Shamir Secret Sharing do podziału klucza prywatnego + podpisy BLS (Boneh-Lynn-Shacham) z możliwością agregacji. Próg np. 3-of-5 oznacza, że dowolne 3 z 5 uczestników mogą złożyć ważny podpis. Benchmarki: czas generowania klucza, czas podpisu częściowego, czas agregacji, rozmiar podpisu (BLS na bn254: 48 bajtów vs RSA-2048: 256 bajtów).

Ocena skuteczności systemów EDR wobec ataków fileless

Środowisko: VM z Windows 10 (izolowana sieć), CrowdStrike Falcon lub Microsoft Defender ATP. Ataki: PowerShell Empire (payloady w pamięci), reflective DLL injection (ładowanie DLL bez zapisu na dysk), LOLBins (living-off-the-land binaries: mshta.exe, regsvr32.exe). Metryki: detection rate, false positive rate, czas od wykonania payloadu do alertu (MTTD). Potrzebujesz co najmniej 30 prób per technika dla sensownej statystyki.

Analiza bezpieczeństwa aplikacji webowej (OWASP WebGoat)

WebGoat to celowo podatna aplikacja webowa Java/Spring Boot, idealna jako platforma testowa. Metodologia: eksploatacja podatności wg OWASP Top 10 2021, ocena severity każdej podatności wg CVSS v3.1 (Base Score + Environmental Score). SQL Injection z blind/time-based technikami (sqlmap), XSS stored/reflected, CSRF z pominięciem tokenu, IDOR (bezpośrednie odwołania do obiektów).

Praca kończy się matrycą podatności z priorytetami remediacji.

Benchmarking algorytmów post-kwantowych

Porównanie CRYSTALS-Kyber-768 (ML-KEM) vs RSA-2048 vs ECDH-P256 w trzech wymiarach: czas keygen (ns/us), czas enkapsulacji/dekapsulacji, rozmiar klucza publicznego i szyfrogramu. Biblioteka: liboqs (Open Quantum Safe Project), Python: oqs-python lub C: liboqs bezpośrednio. Platforma: Intel Core z AES-NI + AVX2, żeby benchmarki miały sens (Kyber ma optymalizacje SIMD). Kyber-768 dla porównania: klucz publiczny 1184 bajty, szyfrogram 1088 bajtów, vs RSA-2048: klucz publiczny 256 bajtów, brak enkapsulacji (inne zastosowanie).

Steganografia w obrazach JPEG vs PNG

Analiza pojemności i wykrywalności. JPEG stosuje stratną kompresję DCT, przez co LSB (Least Significant Bit) jest mniej stabilna niż w PNG. Wykrywalność: SPA (Sample Pair Analysis), test chi-kwadrat (dla sekwencyjnego osadzania LSB), StegExpose (narzędzie Java agregujące kilka metod). Praca powinna zawierać krzywe ROC dla każdej metody wykrywania w funkcji fill ratio (ile % pojemności nośnika zajmuje wiadomość).

Metodologia: jak zbudować środowisko testowe

Izolacja sieci

To nie jest sugestia. Testy penetracyjne i uruchamianie exploitów muszą odbywać się w izolowanej sieci. Minimalna konfiguracja:

1. Hypervisor: VirtualBox lub VMware Workstation Pro
2. Sieć host-only lub internal network (bez mostu na zewnątrz)
3. Maszyny atakujące: Kali Linux (zawiera Metasploit, Burp Suite Community, Nmap, sqlmap, nikto, Hydra)
4. Cele: Metasploitable3 (podatny Linux/Windows), DVWA (Damn Vulnerable Web Application), OWASP WebGoat

Brak izolacji = ryzyko przypadkowego ataku na infrastrukturę zewnętrzną. To naruszenie prawa, nie tylko błąd metodologiczny.

Narzędzia ofensywne

• Metasploit Framework – eksploatacja podatności, post-exploitation, pivot
• Burp Suite Pro (lub Community) – proxy HTTP, skaner podatności webowych, repeater
• Nmap – skanowanie portów, OS detection, script scanning (NSE)
• sqlmap – automatyczna eksploatacja SQL injection
• nikto – skaner podatności serwera webowego
• Hydra – brute force haseł (SSH, FTP, HTTP Basic Auth)

Narzędzia defensywne i analityczne

• Wireshark – analiza pakietów (pcap), rekonstrukcja sesji TLS z kluczami sesji
• Zeek (Bro) – analiza ruchu sieciowego, generowanie logów w formacie strukturalnym
• Suricata – IDS/IPS z regułami ET Open
• OpenVAS/Greenbone Vulnerability Manager – skanowanie podatności infrastruktury
• Nessus (licencja Essentials darmowa do 16 IP) – alternatywa dla OpenVAS

Kryptografia

• OpenSSL – openssl speed do benchmarkingu algorytmów symetrycznych i asymetrycznych
• PyCryptodome – implementacja algorytmów w Python (AES, RSA, ECC)
• liboqs / Open Quantum Safe – implementacja algorytmów post-kwantowych (ML-KEM, ML-DSA, FrodoKEM, SPHINCS+)

Analiza statystyczna wyników

Benchmarki kryptograficzne są sensowne tylko ze statystyką:
– t-test Studenta – porównanie dwóch grup (np. czas keygen RSA-2048 vs Kyber-768)
– ANOVA – porównanie trzech lub więcej grup (np. pięć algorytmów post-kwantowych)
– Podaj: n (liczba próbek), mean, std, p-value, przedział ufności 95%
– Zestaw narzędzi: scipy.stats w Python, ewentualnie R

Jeżeli piszesz „Kyber jest szybszy od RSA” bez p-value i n, recenzent ma prawo odrzucić wniosek jako nieformalny.

CTF jako ścieżka kompetencyjna

Udział w CTF (Capture the Flag) to uznany sposób zdobycia praktycznych kompetencji i warto go opisać w metodologii jako część przygotowania do badań. Kategorie: crypto (łamanie szyfrów, faulty implementations), web (XSS, SQLi, SSTI, deserialization), pwn (binary exploitation: buffer overflow, format string, ROP chains), forensics (analiza obrazów dysków, pcap, pamięci RAM), reverse engineering (IDA Pro, Ghidra, radare2). Platformy: HackTheBox (maszyny z realną infrastrukturą), TryHackMe (bardziej dydaktyczna), PicoCTF (przeznaczona dla studentów).

Certyfikaty uznawane w branży: OSCP (OffSec Certified Professional) – 24-godzinny egzamin praktyczny, najtrudniejszy i najbardziej ceniony w pen testach, eJPT (eLearnSecurity Junior Penetration Tester) – dobry punkt wejścia, CEH (Certified Ethical Hacker) – bardziej egzaminacyjny niż praktyczny, CISSP – dla specjalistów z doświadczeniem 5+ lat, zarządcze.

Dokumentacja i powtarzalność

Każdy eksperyment w pracy magisterskiej z cyberbezpieczeństwa musi być powtarzalny. Znaczy to: dokładny opis wersji oprogramowania (Kali Linux 2024.2, Metasploit Framework 6.4.x, Python 3.12.3), snapshoty maszyn wirtualnych przed każdą serią testów (żeby móc wrócić do stanu wyjściowego), logi w pliku (–log-file w nmap, –output w sqlmap, zapis sesji Burp Suite do pliku .burp), czas pomiaru i liczba iteracji.

Dobrą praktyką jest dołączenie do pracy repozytorium GitHub z kodem eksperymentów i skryptami automatyzującymi środowisko (np. Vagrant + Ansible do stawiania VM). Promotorzy techniczni to doceniają, a recenzent może samodzielnie zreplikować wyniki.

Normy i standardy: co musisz znać

Promotorzy z cyberbezpieczeństwa oczekują precyzji. „ISO 27001” bez roku to nie powołanie na standard. Daty wydania są tu ważne, bo normy są nowelizowane i różnice między edycjami bywają znaczące (jak między ISO 27001:2013 a ISO 27001:2022 w zakresie Aneksu A). Piszesz rok wydania, piszesz numer edycji, piszesz instytucję wydającą.

• ISO/IEC 27001:2022 – Information Security Management System (ISMS). Zawiera Aneks A z 93 kontrolami bezpieczeństwa (w poprzedniej wersji 114). Edycja 2022 reorganizuje kontrole w 4 kategorie (organizacyjne, dotyczące ludzi, fizyczne, technologiczne).
• ISO/IEC 27002:2022 – szczegółowe wytyczne implementacji kontroli z 27001. Nie certyfikujesz się z 27002, ale to podręcznik do 27001.
• ISO/IEC 15408 (Common Criteria) – metodologia oceny bezpieczeństwa produktów IT. Poziomy EAL1-EAL7.
• NIST SP 800-53 Rev. 5 – katalog kontroli bezpieczeństwa dla systemów federalnych USA, ale powszechnie cytowany jako punkt odniesienia. Rodziny kontroli: AC (kontrola dostępu), AU (audyt), CM (zarządzanie konfiguracją), SC (ochrona systemów i komunikacji).
• NIST FIPS 197 – standard AES (Rijndael, 2001). Rozmiary kluczy: 128/192/256 bitów
• NIST FIPS 186-5 – DSA/ECDSA. Aktualna edycja z lutego 2023.
• NIST FIPS 203 – ML-KEM (Kyber), sierpień 2024.
• NIST FIPS 204 – ML-DSA (Dilithium), sierpień 2024.
• NIST FIPS 205 – SLH-DSA (SPHINCS+), sierpień 2024.
• Dyrektywa NIS2 (2022/2555/UE) – bezpieczeństwo sieci i systemów informacyjnych. Zastąpiła NIS1 z 2016. Obowiązuje od 16.01.2023, transpozycja do prawa krajowego do 17.10.2024. Rozszerza zakres na więcej sektorów (produkcja, żywność, usługi pocztowe), nakłada wyższe kary (10 mln EUR lub 2% obrotu).
• GDPR Art. 32 – techniczne i organizacyjne środki bezpieczeństwa przetwarzania danych osobowych. Pseudonimizacja i szyfrowanie jako przykłady
• Cyber Resilience Act (rozporządzenie (UE) 2024/2847, grudzień 2024) – wymogi cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Dotyczy producentów sprzętu i oprogramowania

Struktura i styl pisania pracy z cyberbezpieczeństwa

Czego oczekuje recenzent techniczny

Recenzenci prac z cyberbezpieczeństwa zwracają uwagę na trzy rzeczy. Po pierwsze: czy autor rozumie, co robi, a nie tylko kopiuje polecenia z tutoriala. Po drugie: czy wyniki są obiektywnie zmierzone, z powtórzeniami i statystyką. Po trzecie: czy wnioski wynikają z danych, a nie z intuicji.

Praktycznie: jeżeli testujesz skuteczność EDR wobec ataku fileless, nie pisz „obrona zadziałała”. Pisz: „W 28 z 30 prób (93,3%) system EDR wykrył atak w ciągu 4,2 ± 1,1 sekundy (mean ± SD, n=30). W 2 próbach z reflective DLL injection brak alertu przy payload < 8 KB”.

Różnica jest widoczna na pierwszy rzut oka.

Układ rozdziałów

Typowy układ dla pracy eksperymentalnej z cyberbezpieczeństwa:

1. Wprowadzenie (cel, zakres, struktura pracy)
2. Podstawy teoretyczne (przegląd literatury: RFC, NIST SP, artykuły IEEE/ACM, raporty ENISA/CERT)
3. Analiza stanu techniki (istniejące rozwiązania, luki w literaturze, uzasadnienie tematu)
4. Metodologia i środowisko badawcze (izolowana sieć, wersje narzędzi, design eksperymentu)
5. Wyniki (tabele, wykresy, surowe dane w załączniku)
6. Dyskusja (interpretacja wyników, ograniczenia badań, potencjalne zagrożenia zewnętrzne validiity)
7. Wnioski i kierunki dalszych badań
8. Załączniki (kod, konfiguracje, logi, autoryzacja do testów)

Rozdział z metodologią to serce pracy – nie skracaj go. Recenzent musi móc odtworzyć Twoje środowisko i powtórzyć eksperymenty.

Przegląd literatury: gdzie szukać

IEEE Xplore i ACM Digital Library to pierwsze miejsca do szukania artykułów. Google Scholar działa, ale filtruj po cytowaniach (min. 20-50 dla tematu sprzed 3+ lat). Archiwa preprint: eprint.iacr.org (kryptografia – to tu wychodzą nowe ataki zanim trafią do IEEE), arxiv.org cs.CR (computer security). Raporty techniczne: ENISA Threat Landscape (coroczny), CERT Polska raport roczny, Verizon Data Breach Investigations Report (DBIR). RFC (ietf.org): dla protokołów sieciowych RFC to często lepsze pierwotne źródło niż artykuł akademicki.

Ramy prawne: granica legalności przy testach

Polskie przepisy karne

Testy penetracyjne bez zgody właściciela systemu to przestępstwo. Kodeks karny przewiduje:
– Art. 267 § 1 KK – nieuprawniony dostęp do systemu informatycznego (do 2 lat pozbawienia wolności)
– Art. 267 § 3 KK – instalacja urządzenia/oprogramowania do podsłuchu lub przechwycenia danych (do 2 lat)
– Art. 268 § 2 KK – niszczenie, uszkadzanie lub zmiana danych informatycznych (do 3 lat)
– Art. 269a KK – zakłócanie pracy systemu informatycznego (do 5 lat)
– Art. 269c KK – przygotowanie do przestępstw z 267-269b (posiadanie, wytwarzanie narzędzi – do 2 lat)

Samo posiadanie Kali Linux jest legalne. Użycie narzędzi z Kali przeciw systemom bez zgody jest przestępstwem z 269c (narzędzia hakerskie).

Wymagania dla legalnych testów penetracyjnych

W rozdziale metodologicznym musisz opisać:
– pisemne upoważnienie (authorization to test / rules of engagement)
– zakres (scope): które systemy, adresy IP/zakresy CIDR, terminy testów
– co jest wykluczone (np. ataki DoS na produkcję)

Przy testach w ramach bug bounty (np. HackerOne, Bugcrowd): zakres definiuje polityka programu. Testowanie poza scope to naruszenie umowy i potencjalnie KK.

Inne akty prawne

• Ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (Dz.U. 2018 poz. 1560, ze zm.) – transponuje NIS1, definiuje operatorów usług kluczowych i dostawców usług cyfrowych, CSIRT poziomów krajowych
• Ustawa z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz.U. 2002 nr 144 poz. 1204, ze zm.) – obowiązki dostawców usług online, w tym minimalne środki bezpieczeństwa
• Rozporządzenie DORA ((UE) 2022/2554) – operacyjna odporność cyfrowa sektora finansowego. Stosowane od 17 stycznia 2025 r. Dotyczy banków, ubezpieczycieli, firm inwestycyjnych i ich dostawców ICT. Wymaga testów TLPT (Threat-Led Penetration Testing).

Jeżeli Twoja praca dotyczy sektora finansowego, DORA jest obowiązkowym odniesieniem od 2025 r.

Typowe błędy, które kończą się słabą oceną

Brak pisemnej zgody na test penetracyjny

To nie jest błąd metodologiczny, to potencjalnie przestępstwo. Nawet w środowisku uczelnianym: jeżeli testujesz sieć inną niż własna VM, potrzebujesz dokumentu. Praca opisująca testy przeprowadzone bez autoryzacji naraża Cię i promotora.

Środowisko produkcyjne jako testowe

Widzę to regularnie: student testuje „swój hosting” albo „serwer znajomego”. Produkcja to nie laboratorium. Awaria usługi, wyciek danych, zapis złośliwego payloadu w logach, które ktoś przechowuje. Środowisko testowe = VM z izolowaną siecią, zawsze.

Mylenie CVE severity z CVSS Base Score

CVE to identyfikator podatności. CVSS Base Score to numeryczna ocena (0.0-10.0), ale Base Score nie uwzględnia kontekstu: ile systemów jest narażonych, czy jest exploit publiczny, czy sieć jest wewnętrzna. Environmental Score i Temporal Score dopiero dają pełny obraz. Pisząc „podatność CVE-2024-XXXX jest krytyczna (CVSS 9.8)”, zaznacz, że to Base Score i wyjaśnij, dlaczego w Twoim środowisku rzeczywiste ryzyko może być niższe.

Brak opisu zakresu

„Przeprowadziłem testy bezpieczeństwa aplikacji webowej” to nie metodologia. Recenzent potrzebuje: które narzędzia, które techniki (manual vs automated), które kategorie podatności, jakie kryterium stopu (pełny zakres OWASP Top 10? lista CWE Top 25?), ile prób na każdą technikę.

Pentest bez raportu z rekomendacjami

Test penetracyjny kończy się raportem, nie exploitem. Raport zawiera: executive summary (dla menedżerów), szczegółowy opis każdej podatności (opis, dowód (PoC), severity, rekomendacja remediacji), podsumowanie. Praca magisterska, która pokazuje exploit, ale nie podaje jak go naprawić, jest połową pracy.

Ignorowanie post-exploitation

Uzyskanie dostępu to nie koniec. Post-exploitation to: privilege escalation, lateral movement, persistence, data exfiltration, covering tracks. W środowisku testowym: co mógłby zrobić atakujący po uzyskaniu dostępu? To właśnie pokazuje rzeczywisty impact podatności.

FAQ

Natalia Witek-Dąbrowska

Redaktorka i korektorka z 20-letnim doświadczeniem

Specjalizuję się w korekcie prac naukowych i dyplomowych. Jeśli potrzebujesz pomocy z tekstem, napisz do mnie.