Безопасность контейнеров: опыт внедрения Kaspersky на российском рынке
В сентябре «Лаборатория Касперского» анонсировала обновлённую версию Kaspersky Container Security (KCS) — специального продукта для защиты контейнерных инфраструктур и приложений на всех этапах их существования. За два года с момента первоначального выпуска решение достигло паритета с зарубежными аналогами и было развёрнуто в десятках крупных организаций.
Распространённые, но незащищённые
Контейнеризация продолжает оставаться ключевым направлением в создании программного обеспечения. По данным исследований CNCF, 84% мировых организаций применяют контейнеры в разных окружениях. Российский рынок контейнерных платформ в 2024 году оценивается в 9,7 млрд рублей, с прогнозируемым ежегодным приростом свыше 25% в ближайшие годы. Преимущества очевидны: контейнеризация ускоряет создание и поставку ПО, улучшает его устойчивость к сбоям и гибкость.
Однако за эффективность и скорость разработки приходится платить повышенным интересом со стороны киберпреступников. Согласно исследованиям «Лаборатории Касперского», 85% компаний регистрируют более одного инцидента в среде Kubernetes за год. К наиболее частым последствиям уязвимостей в среде разработки относятся финансовый ущерб, утечка конфиденциальных данных и подрыв доверия клиентов.
Сложность усугубляется особенностями контейнерных сред. Их уникальная архитектура, изменчивый характер и строгая изоляция делают традиционные инструменты кибербезопасности недостаточно действенными. Кроме того, в 2022 году мировые лидеры, ранее доминировавшие на российском рынке контейнерных решений, существенно сократили поддержку местных клиентов. Предвосхищая растущий спрос на специализированную защиту для контейнеров, «Лаборатория Касперского» ещё в 2021 году внедрила отдельные функции безопасности контейнеров в Kaspersky Security для виртуальных и облачных сред и начала создание автономного продукта. В результате летом 2023 года компания представила первоначальную версию Kaspersky Container Security — решения для защиты контейнерных сред и приложений.
От версии к версии
Перед «Лабораторией Касперского» была поставлена задача предложить российскому рынку качественное локальное решение, способное помочь организациям достичь более высокого уровня защиты контейнерных сред. При этом функциональность должна была соответствовать покинувшим рынок зарубежным аналогам, а само решение — удовлетворять нормам российского законодательства и учитывать особенности инфраструктуры отечественных предприятий.
В начале 2023 года «Лаборатория Касперского» приобрела 49% компании XimiPro — создателя платформы для защиты контейнерных сред — и включила её команду в свой состав. Реализовать поставленные цели по развитию продукта планировалось за счёт накопленного опыта и полностью самостоятельной разработки на основе технологий XimiPro. Это позволило компании обеспечить полный контроль над продуктом, исключив применение сторонних open-source-компонентов. Многолетняя практика «Лаборатории Касперского» также должна была гарантировать простоту настройки и использования. Ключевой задачей стало создание готового решения, которое клиенты могли бы развернуть без значительных усилий или привлечения внешних специалистов.
Уже в первоначальной версии KCS охватывал сценарии построения процессов безопасной разработки. С технической стороны KCS внедрялся в CI-цепочки и интегрировался в инфраструктуру. Отличительной особенностью решения стала ориентация на безопасность, которая благодаря обширному опыту «Лаборатории Касперского» была заложена на стадии проектирования.
Компания «Лаборатория Касперского» незамедлительно сообщила о предстоящих релизах, которые гарантировали расширение возможностей и комплексную защиту всех элементов контейнерных систем. Эти обещания были выполнены: в версиях 1.1 и 1.2 реализованы полноценный программный интерфейс и подключение к публичным облачным платформам Yandex, AWS и Azure, охватывая их контейнерные сервисы. В сфере защиты в реальном времени обновленные версии начали обнаруживать сбои в настройках контейнеров и блокировать файловые угрозы, а в области мониторинга — отображать сетевые потоки между контейнерами, внешними сервисами и ресурсами.
Перечень улучшений оказался весьма обширным. К примеру, избирательный подход к угрозам и настройка ограничений для портов, IP-адресов и видов подключений — лишь два нововведения версии 1.1 из значительно более длинного списка. Активное развитие продолжилось в следующих выпусках. Например, версия 1.2 обзавелась механизмом Health Check — своеобразной регулярной диагностикой разрабатываемого решения, а также предоставила возможность формировать отчеты о соответствии узлов кластера стандартам Kubernetes. Список снова неполный, однако важно подчеркнуть, что эволюция KCS на этом не остановилась. В KCS 1.2.1 и 1.2.2 добавились существенные, но узкоспециализированные функции, ценность которых способны оценить лишь эксперты.
Проще, оперативнее, удобнее
Значительным прорывом стала версия 2.0, выпущенная в конце 2024 года. Ключевым усовершенствованием в этом издании стал мониторинг неполадок в оркестраторе и проверка соответствия конфигураций компонентов рекомендуемым практикам. Теперь они отображаются на отдельной вкладке — в понятном формате, сгруппированные по видам контроля. Выявить причины проблем и предпринять действия стало значительно легче. На упрощение использования направлены и другие новшества KCS. Например, если в предыдущих версиях настройка профилей контейнеров требовала ручных действий, то в обновлении этот процесс автоматизирован. Автопрофиль формируется на основе «эталонного образа»: по заданным критериям или на базе уже существующего образа.
Расследование инцидентов безопасности также стало более комфортным. Соответствующая карточка теперь содержит больше данных — в ней приведены подробные описания как нарушенной политики, так и всех связанных с инцидентом событий. Восстановить цепочку происшествий и понять обстоятельства случившегося теперь действительно проще.
Параллельно с расследованием упростилось и предупреждение угроз безопасности. Так, на новой странице, появившейся в версии 2.0, можно быстро проверить наличие в корпоративной инфраструктуре уязвимостей Common Vulnerabilities and Exposures (CVE). Ведь, как известно, кто предупрежден — тот защищен.
Улучшения также коснулись эффективности расходования ресурсов. Например, технология Extended Berkeley Packet Filter (EBPF) уже использовалась в ранних релизах вместе с агентом Kaspersky Endpoint Security для Linux, однако его функционирование требовало значительных мощностей. В обновлённой версии появилась возможность не просто активировать или деактивировать антивирусное сканирование, но и отключать отдельные ненужные опции. Кроме того, стоит отметить и другие усовершенствования — от взаимодействия с менеджерами конфиденциальных данных до записи дополнительных параметров в runtime-событиях.
Версия 2.1 и последующие апдейты, в соответствии с планом развития, предлагают множество востребованных и ожидаемых отраслью возможностей: сканирование узлов (Node) операционной системы на наличие уязвимостей (аналогично проверке образов) и runtime-защита узлов оркестратора от файловых атак, опцию отправки уведомлений через Webhook, расширение совместимости с отечественными и зарубежными оркестраторами, реестрами образов, операционными системами, включая разные версии дистрибутивов Linux, а также множество других практических нововведений. В перспективе — внедрение инструментов искусственного интеллекта и дальнейшее укрепление возможностей информационной безопасности, дополнение политик защиты.
Примеры внедрения
После выхода на российский рынок KCS быстро привлёк первых клиентов. Решение начали применять организации из различных сфер — от торговли и финансов до IT и телекоммуникаций, с инфраструктурой разного масштаба — от 50 до десятков тысяч узлов. У всех них имеются собственные разработческие подразделения. Первоначальные цели при выборе KCS также различаются — от базовой замены иностранного ПО до реализации специализированных сценариев защиты. Только за 2025 год командой продукта было внедрено около 20 функций по прямым запросам пользователей.
Среди первых внедривших KCS стала компания «Магнит». Ещё на стадии тестирования внутренняя команда DevSecOps ритейлера дала высокую оценку решению и теперь участвует в его доработке в процессе использования. KCS применяется по основному назначению — для усиления безопасности при разработке и эксплуатации контейнеризированных приложений. Благодаря решению от «Лаборатории Касперского» управление защитой контейнерных сред стало проще, а рутинные операции автоматизировались. В результате KCS превратился в ключевой элемент комплексной системы ИБ компании «Магнит», во многом — благодаря лёгкой интеграции с IT-инфраструктурой и другими инструментами кибербезопасности.
Опыт внедрения в финансовой отрасли демонстрирует банк МКБ. Он активно развивает цифровые услуги, используя современные методики и средства, в том числе контейнеризацию. Помимо команды DevSecOps, в банке действует исследовательское подразделение. Протестировав несколько продуктов российских вендоров, на решении от «Лаборатории Касперского». Ключевыми факторами в пользу KCS стали уникальный для российского рынка функционал, отличное качество технической поддержки и адаптивность платформы.
В 2025 году онлайн-платформа «Домклик» официально заявила об успешном применении решения. Увеличение рабочих объемов, ужесточение стандартов надежности сервисов и усложнение кибератак, ориентированных на DevOps-процедуры, обусловили потребность во всеобъемлющей защите контейнерной инфраструктуры. Основными преимуществами KCS стали доступный API и обширный потенциал для взаимодействия с внутренними платформами сервиса, наряду с компетенцией в сфере информационной безопасности, круглосуточным сопровождением и гибкостью в адаптации продукта под нужды клиента.
К осеннему периоду 2025 г. было завершено свыше 30 инициатив по внедрению KCS. Продукт не только продолжает тестироваться в разнообразных российских организациях, но и набирает популярность в государствах Латинской Америки, Центральной Азии, Африки и Азиатско-Тихоокеанской зоны. Несмотря на менее чем двухлетний период с момента первоначального выпуска, он успешно соперничает с предложениями мировых поставщиков, появившихся на рынке значительно ранее.
■ Рекламаerid:2W5zFFxbUb2Рекламодатель: АО «Лаборатория Касперского»ИНН/ОГРН: 7713140469/1027739867473Сайт: https://www.kaspersky.ru/
