---

0. Старт (10 сек)
«Сейчас покажу тот же сценарий вживую — вспышка криптомайнера после компрометации CI.»

[открыл приложение / загрузил sample]

1. Загрузка (20 сек)
«На входе — JSON. Система сама собирает сущности, события и связи.
Видим: инцидент восстановлен — 7 событий, 8 сущностей.»

[жмёшь demo или загружаешь cryptominer-outbreak.json]

2. Обзор (40–50 сек)
«Экран „Обзор“. Сверху сразу масштаб: высокая критичность, расследуется, 34 минуты.

KPI: уровень угрозы, затронутые сущности, внешние IP, длительность.

Дальше цепочка MITRE — от доступа до изоляции.

И здесь же краткое резюме GigaChat: что случилось простым языком для бизнеса — без чтения логов.»

[пальцем/курсором пройти KPI → MITRE → блок GigaChat]

3. Граф (50–60 сек)
«Переходим в граф сущностей — это ядро.

Смотрите путь атаки:
k.orlov меняет код в GitLab → в pipeline.yml появляется скрытая стадия → на ci-runner-07 стартует xmrig → связь с внешним IP пула → распространение на Kubernetes worker.

Цвета: жёлтый — скомпрометирован, красный — угроза, синий — уже изолирован.
Подписи на стрелках показывают действие: кто что сделал.»

[кликни 1–2 узла, чтобы подсветились]

4. Хронология + replay (50–60 сек)
«Ниже — хронология. Включаю воспроизведение.»

[Play]

«Шаг за шагом: аномальный push → скрытая стадия → запуск майнера → соединение с пулом → закрепление → переход на worker → изоляция.

У каждого шага — MITRE-техника, фаза и recommended action.
То есть не просто „что произошло“, а „что делать сейчас“.»

[остановись на одном событии, покажи evidence справа]

5. ИИ-помощник (40–50 сек)
«Открываю вкладку „Помощник“.

Сверху — ИИ-анализ для бизнеса.
Сейчас спрошу по делу:»

[вводи / жми подсказку]
«Что следует изолировать в первую очередь?»

«Ответ опирается на этот кейс, а не на общие знания.
Если GigaChat недоступен — сработает локальный fallback, демо не упадёт.»

6. PDF (20–30 сек)
«И фиксируем результат: создаём PDF-отчёт.»

[Создать PDF / скачать]

«Метрики, резюме, сущности, ход атаки — документ для CISO или post-mortem.
Полный цикл: от лога → к картине → к действию → к отчёту.»

7. Закрытие демо (10 сек)
«На этом живой показ. Дальше — итог.»

[передаёшь исследователю / слайд «Итог»]