Что нового в версии 2.5

04 сентября 2026

ID 306285

Развернуть всё | Свернуть всё

В Kaspersky Container Security 2.5.1 появились следующие возможности и улучшения:

Отправка статистики в Kaspersky Security Network (KSN)
Добавлена возможность отправки данных об обнаруженных угрозах в KSN и получения уточненных вердиктов в рамках компонента Защита от файловых угроз.

Включение отправки статистики в KSN обогащает данные "Лаборатории Касперского" об обнаруженных уязвимостях и ускоряет обнаружение угроз за счет облачных вердиктов. Это изменение выравнивает подход KCS с общими подходами, принятыми в продуктах "Лаборатории Касперского".

Возможность будет полезна специалистам по информационной безопасности, которые хотят повысить защищенность своей инфраструктуры за счет включения в Kaspersky Container Security отправки данных и уточнения вердиктов, полученных компонентом Защита от файловых угроз, в KSN.
Обновлено правило детектирования RCE в GitHub Actions
В состав решения входит правило, проверяющее workflow-файлы GitHub Actions на наличие уязвимостей, ведущих к удаленному выполнению кода (англ. Remote Code Execution, RCE).

В Kaspersky Container Security 2.5.1 это правило доработано: увеличено количество истинных срабатываний (англ. true positive), при этом ложных срабатываний (англ. false positive) не выявлено.

В Kaspersky Container Security 2.5.1 внесены следующие исправления:

Скорректирована работа с фидами AstraLinux 1.8.*
Исправлена обработка фидов для ОС AstraLinux версии 1.8.*. Поскольку AstraLinux является дистрибутивом на основе Debian, текущая логика объединяет в результатах сканирования данные из фидов Debian и вендора AstraLinux. Таким образом, явно устраненные вендором уязвимости не попадают в результаты сканирования, сохраняя при этом те специфичные Debian-уязвимости, которые не были явно указаны вендором, как устраненные.
Исправлена ошибка генерации SBOM из-за слишком длинных имен файлов
Исправлена ошибка сканера (File name is too long), возникавшая при генерации SBOM: временные имена файлов формировались на основе имени и тега образа и могли превышать ограничение Linux на длину имени файла. Теперь сканер формирует корректные временные имена. Дополнительно доработан сканер-клиент (англ. Image Handler): ранее образы с длинными именами репозитория или тега не сканировались из-за ошибки подготовки конфигурации (config prepare failed).
Исправлена ошибка в kube-agent при обработке RBAC-логов
Исправлена ошибка (nil pointer dereference) в kube-agent, возникавшая при обработке RBAC-логов в обработчике DAC-запросов и приводившая к сбою в работе агента.
Исправлена работа пользовательских правил при применении контроллера доступа (англ. Dynamic Admission Controller, DAC)
Ранее в решении не применялись правила, построенные на выражениях над request.object/oldObject (например, имя объекта, hostNetwork, privileged, список контейнеров). В Kaspersky Container Security 2.5.1 блокировка объектов, нарушающих пользовательские правила, работает корректно.
Исправлено поведение node-agent при сбое отдельного компонента
Ранее сбой при инициализации отдельного компонента (например, ошибки fanotify или integrity-check-service) приводил к полному прекращению работы агента (CrashLoopBackOff). Теперь агент запускает все компоненты, которые способны запуститься, вместо полного прекращения работы.
Добавлена возможность переподключения агента к Cilium Hubble при изменении конфигурации Hubble
Cilium CNI может динамически включать и выключать модуль Hubble. Ранее, если Hubble был выключен на момент запуска агентов, последующее включение модуля не подхватывалось без перезапуска агентов. Теперь агенты периодически проверяют доступность Hubble и переподключаются при необходимости.
В Public API добавлена возможность получения результатов проверки на соответствие стандартам
В веб-интерфейсе решения в разделе Соответствие отраслевым стандартам можно просматривать результаты проверки кластеров на соответствие отраслевым стандартам. Ранее в Public API решения не было соответствующей возможности. В Kaspersky Container Security 2.5.1 добавлены методы для получения через Public API списка кластеров с результатами проверки на соответствие отраслевым стандартам, списка и описания правил, связанных с ними ресурсов, обзора по категориям, списка узлов и информации о сканировании.
Исправлена ошибка Cannot create process group при запуске CI/CD-сканера
Исправлена ошибка Cannot create process group, возникавшая при первом запуске команды сканирования для CI/CD-сканера в режиме lite.
Исправлено формирование отчета в формате SARIF при сканировании tar-архивов
Ранее при сканировании tar-архива с флагами --sarif и --stdout поле endTimeUtc в блоке invocations возвращалось пустым (англ. null), из-за чего отчет не проходил проверку по JSON-схеме SARIF. Теперь поле корректно заполняется временем окончания сканирования.

В Kaspersky Container Security 2.5 появились следующие возможности и улучшения:

Создание собственных политик
В решении появилась возможность создания пользовательских политик безопасности образов (англ. Assurance policies) и политик контроля доступа (англ. Admission controller policies), а также пользовательских стандартов для проверки на соответствие стандартам безопасности (англ. Benchmark frameworks). Добавление пользователями новых уникальных для той или иной организации политик и стандартов в дополнение к предустановленным снижает нагрузку на специалистов ИБ, ускоряет интеграцию решения в защитную инфраструктуру организации, тем самым усиливая общую защищенность инфраструктуры. Кроме того, возможность создания пользовательских наборов проверок на соответствие стандартам безопасности позволяет пользователям быстрее адаптироваться к локальным изменениям и появлению новых регуляторных требований.

Создавать пользовательские политики и стандарты можно с помощью языка CEL, который также используется и в других решениях подобного класса, что упрощает миграции на Kaspersky Container Security.
Экспорт/импорт конфигураций
Добавлена возможность экспортировать полную конфигурацию решения (политики, группы агентов, профили и другие настроенные параметры) для переноса на другие экземпляры Kaspersky Container Security или создания резервных копий. Экспортированный файл можно формировать в зашифрованном виде или в открытом формате для ручного редактирования перед импортом. Функциональность реализуется с помощью дополнительной утилиты для запуска на рабочей станции (Linux/Windows/macOS) администратора решения. Возможность экспорта/импорта облегчит администраторам Kaspersky Container Security создание резервных копий, а специалисты ИБ смогут без усилий перемещать настроенную конфигурацию между экземплярами решения при работе с крупными инфраструктурами.
Динамическое обновление конфигурации агентов без переустановки
Добавлена возможность внедрять изменения параметров групп агентов без необходимости полной переустановки подов агента node-agent. Измененные параметров применяются мгновенно, что позволяет избежать простоя и упрощает управление крупными инфраструктурами. Это также дает возможность управлять агентом node-agent, чтобы оперативно сократить потребление ресурсов в пиковые периоды, что снижает риски прерывания критических процессов при обновлении конфигураций в производственной среде.
Просмотр SBOM в деталях анализа образа
Просканированные образы контейнеров теперь можно экспортировать в виде SBOM (англ. Software Bill of Materials) в стандартных форматах SPDX и CycloneDX. Просмотр и загрузка SBOM доступны в отдельной вкладке на странице с подробной информацией о результатах сканирования, а также через конечную точку API с поддержкой выбора формата. Это упрощает интеграцию с системами управления уязвимостями, дефект-трекерами и централизованными реестрами компонентов для обеспечения полной отслеживаемости цепочки поставок ПО.
Оптимизация производительности агента node-agent
При схожих объемах потребляемых ресурсов компонент решения node-agent теперь обрабатывает в два с половиной раза больше контейнерных событий, чем в Kaspersky Container Security 2.4. Дополнительно устранена прямая зависимость производительности агента node-agent от количества политик среды выполнения. Новая реализация позволяет обрабатывать сотни правил без влияния на потребление вычислительных ресурсов пода node-agent.
Расширено покрытие контролируемых объектов контейнерной инфраструктуры (работа агента node-agent на узле управления)
Агенты безопасности теперь можно устанавливать на узел управления для углубленного аудита компонентов узла управления кластера. Это позволяет выявлять уязвимые настройки компонентов узла управления и потенциальные компрометации на самом критическом уровне кластера, обеспечивая централизованный контроль безопасности всей инфраструктуры через единую консоль.
Настройка реагирования при сбое в работе/отключении агентов
Реализована возможность получать уведомления с использованием политик реагирования и SIEM-систем, если ядро решения теряет связь с агентами в обслуживаемых кластерах.
Разграничение доступа к результатам CI
Пользователи получили возможность настроить доступ к результатам проверок в CI в соответствии с логикой разграничения видимости проектов внутри организации. Это позволяет, например, дать разработчикам из смежного отдела доступ только к результатам проверки их сборок, не раскрывая результаты по всей остальной инфраструктуре.
Доработка логики отображения данных на информационной панели
Данные на информационной панели решения отображаются с учетом общей логики использования областей применения. Пользователю теперь представлена только та информация, к которой у него есть доступ.
Развитие API
В Kaspersky Container Security добавлены новые возможности API, которые позволяют получать информацию по сканированиям, например, запрашивать метрики производительности сканеров и набирать данные по сканированиям образов из кластера (проведенные сканирования за определенный промежуток времени).

Также были добавлены дополнительные поля для формирования ряда запросов, которые позволяют получать информацию по типу ОС и дате последнего сканирования.
Возможность обнаружения уязвимости в приложениях Platform V
Базы Kaspersky Container Security дополнены данными для приложений Platform V для точного обнаружения уязвимостей в ПО стороннего производителя. Это первый партнерский массив данных, направленный на обнаружение не только уязвимостей пакетов операционных систем и языков разработки, но и комплексных вендорских программных приложений.
Оптимизация скорости обработки запросов контроллера доступа (англ. Dynamic Admission Controller, DAC)
Для ускорения производительности DAC на стороне агента kube-agent добавлена возможность кеширования результатов сканирований, что дает избежать дополнительных запросов к ядру решения и ускоряет обработку обращений DAC в 10 раз (до 300 мс). В нагруженных системах такое ускорение позволяет использовать Kaspersky Container Security без значительного влияния на скорость работы внутренних процессов оркестратора. Наибольшую пользу оптимизация принесет заказчикам, для которых критически важна производительность и скорость отработки политик в крупных инфраструктурах.
Возможность получения необработанных событий с помощью API
Функциональность предоставляет клиентам надежный, эффективный и полноценный механизм ежедневного получения всех необработанных (англ. raw) данных о безопасности их контейнерной инфраструктуры для последующей загрузки во внешние системы (например, для проведения анализа или на хранение).
Отправка образа на сканирование по прямому пути
Функциональность позволяет отправить образ на сканирование без поиска этого образа в реестре, указав полный путь до него. Это может быть важно для больших архитектур, где нужно оптимизировать обращения к реестрам образов.
Дополнительная логика построения и применения автопрофилей
Теперь при построении автопрофилей можно не учитывать примененные политики среды выполнения Это позволяет при необходимости изменить логику построения автопрофилей и формировать полные профили работы подов без учета действующих на них политик среды выполнения. Такой подход обеспечивает реализацию большего количества сценариев применения автопрофилей для контроля среды выполнения.
Перенос данных хранилища s3 из системы хранения MinIO в SeaweedFS
С октября 2025 года open-source проект MinIO, который входит в комплект поставки решения, более не развивается сообществом. Поэтому с Kaspersky Container Security 2.5 в составе решения также используется SeaweedFS, что требует дополнительных действий от администраторов решения.

Minio и SeaweedFS – s3-совместимые хранилища, которые используются в решении (под kcs-s3) для хранения сформированных отчетов.

При обновлении решения нужно ознакомиться с инструкцией по переносу данных хранилища s3 из системы хранения MinIO в SeaweedFS, где содержится информация о переносе данных, который необходимо осуществить до обновления, и действиях по восстановлению данных в случае пропуска переноса данных на этапе установки Kaspersky Container Security.
Перенос результатов ранее проведенных проверок на соответствие отраслевым стандартам безопасности
При обновлении решения на версию Kaspersky Container Security 2.5 результаты ранее проведенных проверок на соответствие отраслевому стандарту Kubernetes будут утеряны.

В Kaspersky Container Security 2.5 полностью переработана логика проверок на соответствие отраслевым стандартам безопасности: проверка на соответствие на соответствие отраслевому стандарту Kubernetes объединена с проверкой на соответствие отраслевым стандартам безопасности кластеров. В связи с чем миграция результатов ранее проведенных проверок на соответствие отраслевому стандарту Kubernetes невозможна.

Для пользовательских проверок на соответствие отраслевым стандартам, правила для которых формируются на языке CEL, нужны агенты Kaspersky Container Security версии 2.5.
Изменение формата сообщений в SIEM-систему.
В Kaspersky Container Security 2.5 изменился формат сообщений, отправляемых в SIEM-систему: убраны заголовки syslog для соответствия сообщений формату CEF.

Kaspersky Container Security версии 2.4

В Kaspersky Container Security 2.4 появились следующие возможности и улучшения:

Реализована возможность анализа слоев образов в контейнерах с использованием внешних ИИ-инструментов, поддерживающих OpenAI API.
Теперь пользователи смогут помимо встроенного приложения "Лаборатории Касперского" использовать другие языковые модели с поддержкой OpenAI API для интерпретации слоев образов. Это особенно важно для работы с локальными моделями в закрытых контурах, где нет взаимодействия с облачными моделями.
Расширена поддержка публичных облачных сред: Kaspersky Container Security работает в Google Cloud.
Поддержка Google Cloud Platform обеспечивает корректную работу продукта и необходимую защиту в специфичной облачной среде.
Добавлена поддержка платформы оркестрации Боцман 3.0.1 с использованием Cilium CNI.
Поддержка актуальной версии среды оркестрации обеспечивает отказоустойчивость и надежность защиты контейнерной инфраструктуры.
Оптимизирован процесс сканирования образов, повышена его стабильность и производительность:
- реализована возможность приоритизации объектов сканирования (можно выделить пул сканеров, назначить ему приоритет и реестры, которые он будет обслуживать);
- автоматическое повторное сканирование образов с одинаковым хешем не осуществляется до обновления баз уязвимостей.
Доработки снижают время ожидания результатов. Теперь можно ускорить критически важные сканирования за счет выделения ресурсов под приоритетные реестры.

Исключение повторного сканирования дублирующихся образов сокращает нагрузку на инфраструктуру и экономит вычислительные ресурсы, что ускоряет общий цикл поставки ПО, снижает операционные затраты, а таже позволяет в это время просканировать другие, пока еще не проанализированные, образы.
Оптимизирована работа агентов и снижено потребление памяти агентами на крупных кластерах.
По сравнению с Kaspersky Container Security 2.3 потребление памяти агентами снижено на 30%. В результате можно безопасно масштабировать решение на кластеры с большим количеством узлов без пропорционального роста расходов на память.
Расширены функциональные возможности работы с внешними учетными записями систем SSO и LDAP.
Улучшена логика работы интеграций с SSO и LDAP в части синхронизации данных. В SSO-модуль внесены изменения для совместимости с системами SSO клиентов.
Во временные метки добавлено указание миллисекунд по основным типам событий.
Эта доработка дополнительно повышает точность аудита и расследования инцидентов и позволяет однозначно восстановить хронологию событий даже в высоконагруженных системах с множеством событий, происходящих за единицу времени.
Реализована возможность получения данных из истории сканирований CI/CD по номеру сборки с помощью Kaspersky Container Security OpenAPI.
Теперь команды разработки могут автоматизировать еще один сценарий работы с продуктом, например, в рамках CI-пайплайна. Пользователи могут избежать ручного поиска в UI результатов сканирования уязвимостей.
Устранены ограничения и улучшена работа интеграции с внешним реестром Harbor.
Доработка интеграции с Harbor предотвращает избыточные запросы к реестру, снижает вероятность конфликтов данных и упрощает администрирование. В итоге сокращаются простои при сканировании и потери времени на ручное исправление дубликатов.
Доработана возможность фильтрации, представления рисков и уязвимостей (фильтры по принятию рисков, сортировка рисков, исключение отклоненных уязвимостей, правильная работа с областями применения).
Доработка повышает эффективность и скорость работы аналитиков, позволяя быстрее фокусироваться на актуальных и непринятых уязвимостях, исключая избыточный шум, в конечном итоге ускоряя процесс исправления.
Добавлена возможность активации кодом в закрытых контурах через прокси-сервер.
Это обеспечивает работу компонента лицензирования продукта в корпоративных сетях с использованием прокси.

Для возможности применения патчей безопасности обновлена версия СУБД PostgreSQL, которая поставляется в составе Kaspersky Container Security. Пользователям нужно самостоятельно обновить базу данных PostgreSQL.

Kaspersky Container Security версии 2.3

В версии Kaspersky Container Security 2.3 основной акцент сделан на повышение стабильности и безопасности решения. Для этого добавлена возможность интеграции с SSO, поддержка мультидоменности Active Directory, возможность использования нейросетевого ИИ-инструмента Kaspersky Investigation and Response Assistant (KIRA) и другие функции.

В Kaspersky Container Security 2.5 появились следующие возможности и улучшения:

Возможность интеграции с SSO.
В Kaspersky Container Security реализована поддержка аутентификации с помощью службы идентификации Keycloak.
Возможность использования нескольких доменов Active Directory.
В Kaspersky Container Security можно использовать несколько доменов Active Directory для аутентификации.
Интеграция с ИИ-инструментом Kaspersky Investigation and Response Assistant (KIRA).
В решение появилась возможность использования технологий искусственного интеллекта для помощи пользователю в анализе образов контейнеров.
Расширение функциональных возможностей API:
- Получение данных о рабочей нагрузке (англ. workload) для образа контейнера (кластер, пространство имен, под).
- Обогащение информации о контейнере данными о хост-сервере.
- Получение информации о типе интеграции (созданная вручную или автоматически) при запросе списка интегрированных реестров образов.
- Получение списка контейнеров для определенного узла.
Оптимизация скорости работы с динамическим контроллером доступа.
В решении появилась возможность отключения проверки хеша образа в реестре образов при работе с динамическим контроллером доступа (англ. Dynamic Admission Controller, DAC) для ускорения проверки с применением политик безопасности (проверки на соответствие образов требованиям и незарегистрированных образов).

В Kaspersky Container Security 2.3 произведены следующие доработки:

Отсутствие права на создание CRD на уровне кластера у агента kube-agent.
Вместо прав на создание CRD на уровне кластера агенту необходимы права только на ресурс kcssecurityprofiles.securityprobe.kcs.com.
Управление данными в S3-хранилище.
В решении возможность настройки параметров ротации (удаления) данных, которые хранятся в S3-хранилище, с помощью квот: по времени или по уровню заполнения S3-бакета.
Поддержка кодировки UTF-8 в Active Directory.
Решение поддерживает кодировку UTF-8, в том числе с использованием кириллических символов, в названиях групп, атрибутов и уникальных имен (англ. Distinguished names, DN) при интеграции с Active Directory.
Гранулярная настройка прав доступа.
В решении осуществлено разделение прав на права на просмотр (англ. View) и прав на настройку параметров (англ. Manage) для агентов, кластеров и других объектов в группах прав.

Kaspersky Container Security версии 2.1

Kaspersky Container Security 2.1.1

В Kaspersky Container Security 2.1.1 произведены доработки для повышения стабильности, производительности и безопасности решения. Были устранены ошибки влияющие на сканирование образов и узлов, работу политик, автопрофилей и интеграций. Ключевым улучшением Kaspersky Container Security 2.5.1 стала оптимизация процессов обработки и отображения данных, что решает проблемы с превышением времени ожидания и потреблением ресурсов.

В Kaspersky Container Security 2.1.1 появились следующие функциональные возможности:

Поддержка формирования и выгрузки отчетов о результатах сканирования в формате SARIF, что упрощает интеграцию с ASOC/ASPM платформами.
Возможность автоматического определения версий российских операционных систем при сканировании узлов.
Обеспечение совместимости и стабильной работа с реестром образов Сфера Дистрибутивы 2.0.

В Kaspersky Container Security 2.5.1 произведены следующие доработки:

Улучшения процесса сканировании образов (CI/CD и реестры):
- Исправлена ошибка, которая могла приводить к сбоям при сканировании в CI/CD в GitLab при включенной проверке на вредоносное ПО.
- Исправлена ошибка, которая могла приводить к формированию пустых отчетов о сканировании артефактов в CI/CD.
- Исправлен код возврата CI/CD сканера, который используется для отображения ошибок (например, при отсутствии токена).
- Улучшено сканирование OCI-образов и образов из реестра Сфера 2.0.
- Устранена ошибка, связанная с использованием большого объема памяти при сканировании маленького образа.
- Исправлено отображение найденных уязвимостей в отчете при использовании сканера в режиме lite SBOM.
Улучшения процесса сканирования узлов и кластеров:
- Исправлено отображение результатов сканирования узлов на уязвимости.
- Улучшено отображение информации о CVE в отчете о сканировании узла оркестратора.
- Исправлена ошибка, связанная с отображением процесса сканирования после его завершения.
- Улучшено отображение ОС в списке кластеров и узлов.
- Исправлена ошибка сканирования в отчете по соответствию отраслевым стандартам безопасности кластеров.
- Оптимизировано использование областей применения при формировании отчетов по соответствию отраслевым стандартам безопасности кластеров.
Повышение безопасности работы в среде выполнения и улучшения в автопрофилировании:
- Восстановлено получение автопрофилей для многоконтейнерных подов.
- Устранена ошибка, связанная с удалением автопрофилей при создании автопрофилей для подов с похожими образами.
- Улучшена логика eBPF-драйвера: исправлено обнаружение Egress-трафика в Calico и обработка DNS-запросов.
- Реализована интеллектуальная логика автоопределения среды выполнения контейнеров для агента node-agent.
- Исправлена ошибка, связанная с невозможностью удаления политики с использованием Cilium в агенте node-agent.
- Улучшена обработка API-запросов, связанных с обращением к образам реестров.
Улучшения производительности решения:
- Проведена оптимизация обработки результатов сканирования образов.
- Устранены проблемы с превышением времени ожидания при загрузке страницы со списком кластеров.
- Оптимизирована работа таблицы со списком кластеров.
- Исправлена ошибка, связанная с отправкой метрик с конфиденциальной информацией в событиях аудита ClickHouse при работе Брокера событий.
Улучшения API и управления конфигурацией решения:
- Исправлена ошибка аутентификации при множественных параллельных запросах.
- Исправлена ошибка, связанная с сохранением группы агентов с несуществующим идентификатором в SIEM-интеграции.
- Устранена проблема совместимости между компонентами решения node-agent v2.0.2.5 и kcs-event-broker v2.1.0.
- Исправлена ошибка, связанная с содержащими специальные символы пароли, которые не работали при добавлении реестра с помощью API.
Улучшения в интерфейсе:
- Исправлено неправильное цветовое отображение оценки риска в детализированных отчетах.
- Доработан счетчик рисков при просмотре сводной информации о результатах сканирования образа.
- Исправлена передача неверных параметров запроса для контрольных показателей в отчете по соответствию отраслевым стандартам безопасности кластеров.
- Исправлено отображение выявленных на узлах уязвимостей.
- Удалена возможность добавления образов для сервисных кластерных интеграций.
- Доработано сохранение состояния при создании вебхуков.
- Оптимизирован поиск по хешу образа для реестров.
- Улучшено отображение параметров даты при исследовании событий безопасности.
Оптимизация интеграций и уведомлений:
- Доработана отправка CEF-сообщений в SIEM-систему для событий FHL и RBAC.
- Исправлена ошибка, связанная с удалением SIEM-интеграции из параметров группы агентов.
- Устранена проблема неправильной передачи имени контейнера в вебхуке.
- Оптимизирована отправка уведомлений при наступлении триггер-события для узлов в политиках реагирования.
Улучшения при установке и работе агентов:
- Доработана установка агента node-agent с помощью Helm Chart при включенном компоненте Защита от файловых угроз.
- Оптимизирована работа агента node-agent, когда на хосте отсутствует возможность создания директории для записи событий компонента Защита от файловых угроз.
- Исправлена ошибка, связанная с невозможностью создания кеш-клиента.
- Оптимизировано формирование конфигурационного файла для OpenShift при создании группы агентов.
- Исправлено обновление параметра image-handler на OpenShift.
- Дополнена документация по обновлению, добавлены примеры указания пути до сокета.
- Добавлено описание флага NETWORK_REPUTATION_CALC_INTERNAL_ADDRESSES для агента node-agent.
- Оптимизирована работа компонента Защита от файловых угроз: по умолчанию компонент включен для контейнеров в новых группах агентов.

Kaspersky Container Security 2.1

В Kaspersky Container Security 2.1 появились следующие возможности и улучшения:

Расширение интеграции с внешними реестрами образов:
- Полная поддержка сканирования образов в Google Artifact Registry.
- Интеграция с Azure Container Registry для сканирования образов.
- Поддержка работы с реестром Сфера Дистрибутивы (англ. Sfera).
Возможность проведения проверок безопасности узлов на платформе оркестрации:
- Функция сканирования и отображения уязвимостей в компонентах операционной системы хостов (узлов кластера) в интерфейсе решения.
- Защита операционных систем хостов от файловых угроз.
- Формирование сводного и детализированного отчетов по результатам проверки рабочих узлов в кластере (ОС узлов). В отчетах приводится информация о выбранных рабочих узлах, проведенных проверках и выявленных проблемах безопасности (например, количество обнаруженных при сканировании уязвимостей и вредоносного ПО с указанием уровня критичности объектов).
Улучшение работы следующих политик безопасности: политики безопасности образов и политики среды выполнения:
- Возможность создавать исключения для правил политики безопасности образов.
- Возможность проведения проверки пакетов на наличие конкретных ресурсов или версий ресурсов в образах при применении политики безопасности образов.
- Возможность проведения проверки на наличие образов, основанных на неразрешенных вами ОС, при применении политики безопасности образов.
- Изменение логики объединения политик среды выполнения для повышения предсказуемости их применения.
- Идентификация названия нарушенной политики среды выполнения в событиях безопасности.
Улучшение пользовательского интерфейса и отчетности:
- Отображение всех пакетов в результатах сканирования вне зависимости от наличия в них уязвимостей для полной инвентаризации ПО.
- Отслеживание и отображение истории изменений состояния компонентов решения.
- Возможность проверки репутации IP-адресов и доменных имен, с которыми взаимодействуют контейнеры.
- Отправка событий компонента Защита от файловых угроз в SIEM-систему.
- Улучшение работы с отчетами с помощью следующего:
  - Для оптимизации нагрузки при формировании отчетов модуль формирования отчетов вынесен в отдельный контейнер в поде kcs-middleware.
  - Усовершенствован механизм формирования больших отчетов.
Расширение поддержки инфраструктуры:
- Поддержка работы с Docker CRI.
- Обеспечение работы решения в среде оркестраторов Deckhouse и Штурвал.
- Возможность работы решения с внешними экземплярами Clickhouse для хранения данных.
- Возможность развертывания решения через облачную платформу Yandex Cloud.
- Улучшение работы решения на кластерах с узлами под управлением ОС RedOS.
- Возможность работы и обнаружения уязвимостей в Platform V SberLinux OS Server.
Улучшение мониторинга и регистрации следующих событий:
- Жизненный цикл контейнеров (события запуска, остановки и удаления контейнеров на хостах).
- Открытие сетевых портов контейнерами.
- Изменения в объектах RBAC контролируемых кластеров.
- Авторизация пользователей на хосте.
Автоматизация процессов и API:
- Возможность предварительной настройки областей применения, а также определения реестров контейнеров для сканирования до подключения этих реестров.
- Возможность настройки вебхук-уведомлений в качестве ответа на срабатывание политик безопасности.
Добавлена обязательная переменная APP_SECRET, которая используется для шифрования конфиденциальной информации в базе данных PostgreSQL.

Kaspersky Container Security версии 2.0

В Kaspersky Container Security 2.0 появились следующие возможности и улучшения:

Централизованное исследование уязвимостей в артефактах CI/CD, реестров образов и среды выполнения.
Расширенные возможности регистрации событий контейнеров в отношении сетевого трафика (входящего и исходящего), файловых операций, запускаемых процессов, работы компонента Защита от файловых угроз.
Обеспечение бесперебойного мониторинга инфраструктур, содержащих до нескольких тысяч сетевых узлов.
Возможность интеграции с внешним хранилищем секретов HashiCorp Vault:
- Чтение предварительно созданных секретов для компонентов Kaspersky Container Security.
- Использование Vault PKI для создания TLS-сертификатов, которые используются для межсервисного взаимодействия.
Интеграция с программными продуктами, предназначенными для получения и анализа информации о событиях безопасности (SIEM):
- Настройка интеграции с несколькими продуктами с помощью пользовательского интерфейса.
- Определение параметров для отправки событий разных категорий (Администрирование, Обнаружение, CI/CD, Политики, Ресурсы, Сканеры, Контроллер доступа, API).
- Определение параметров для отправки событий контейнеров в отношении сетевого трафика (входящего и исходящего), файловых операций, запускаемых процессов.
Формирование отчетов в форматах .JSON, .XML.
Сканирование инфраструктуры на соответствие отраслевому стандарту безопасности кластеров.
Формирование сводного отчета по результатам проверки инфраструктуры на соответствие отраслевому стандарту безопасности кластеров.
Доработка интеграции с LDAP (применение схемы уникального имени).
Формирование профилей среды выполнения на основе анализа функционирования контейнеров (автопрофилирование).
Доработка возможностей OpenAPI:
- Получение данных о состоянии компонентов ядра (Core Health Check).
- Управление политиками сканирования, безопасности образов, реагирования и среды выполнения.
- Управление профилями среды выполнения.
- Получение журнала событий системы.
- Получение журнала событий контейнеров.
- Управление рисками.
- Управление задачами автопрофилирования.
- Получение информации об интеграции c модулями проверки подписей образов.
Поддержка интеграции со следующими внешними реестрами образов:
- Amazon Elastic Container Registry.
- Red Hat Quay.
Сканирование директории OCI в процессах CI/CD.

Kaspersky Container Security версии 1.2

В Kaspersky Container Security 1.2 появились следующие возможности и улучшения:

Встроенные инструменты для выполнения проверок состояния компонентов (механизм Health Check):
- Визуализация состояния ресурсов кластера.
- Просмотр информации о состоянии компонентов решения.
- Мониторинг heartbeat-сообщений компонентов решения.
Автоматизация процессов обслуживания, обеспечения безопасности и надежности компонентов решения с помощью внедрения инструментов Auto Care, в том числе автоматической очистки:
- Журнала событий безопасности.
- Истории сканирования.
Визуализация контролируемых кластеров, сетевого взаимодействия и проблем безопасности ресурсов кластеров.
Поиск и анализ потенциальных файловых угроз для защиты контейнеризированных файлов от вредоносного ПО.
Поддержка интеграции со следующими CI-системами:
- TeamCity 2022.04 и выше.
- Jenkins 2.385 и выше.
Формирование отчетов по результатам проверки узлов кластера на соответствие отраслевому стандарту Kubernetes:
- Сводный отчет.
- Детализированный отчет.
Интеграция Kaspersky Security для контейнеров в реестр Harbor в качестве дополнительного сканера. Этот функционал позволяет запускать сканирование образов из интерфейса администрирования Harbor Registry. Результаты сканирований сохраняются в решении и доступны для дальнейшей работы с ними.
Создание документации, содержащей описание API-запросов, с использованием Swagger.
Обеспечение бесперебойного мониторинга инфраструктур до 1000 сетевых узлов.
Поддержка китайского (упрощенного) языка.
Функционирование решения в следующих облачных окружениях:
- AWS Amazon EKS.
- Microsoft Azure AKS.

В Kaspersky Container Security 1.2.1 произведены следующие доработки:

Скорректирован способ аутентификации с помощью LDAP.
Скорректирована возможность работы в Telegram (отправка сообщений, поиск чатов).
Исправлена работа фильтров для результатов проверки на соответствие отраслевому стандарту Kubernetes.
Исправлено отображение поля Исправлено производителем в отчете по принятым рискам.
Добавлена возможность работы с уязвимостями в зависимостях Java для CI-агента.
Исправлена работа следующих контрольных показателей в политиках среды выполнения: Предотвращение запуска контейнеров из несоответствующих требованиям образов и Блокирование незарегистрированных образов.
Скорректирована логика удаления областей применения с назначенными им политиками.
Оптимизирована работа с модулями проверки подписей образов.
Доработана процедура аутентификации пользователей Kaspersky Container Security.
Скорректирован функционал перевыпуска API-токена.
Скорректировано отображение большого количества тегов при добавлении образов для анализа.
Скорректировано добавление нового реестра с помощью API (исправлена логика сохранения информации о тегах).
Доработаны шаблоны отчетов по образам (отображение ссылок на уязвимоcти в образах).
Скорректирована работа с серверами электронной почты при использовании аутентификации CRAM-MD5.
Добавлена возможность настройки частоты обращения к реестру образов.
Доработан веб-интерфейс решения.

В Kaspersky Container Security 1.2.2 произведены следующие доработки:

Реализована поддержка Yandex Registry.
Добавлен универсальный способ поддержки реестров образов с использованием Docker V2 API.
Скорректирована работа с реестром образов JFrog Artifactory в части поддержки учетных записей с урезанными привилегиями.
Скорректирован механизм сохранения артефактов в CI/CD.
Исправлены ошибки работы агентов на старых версиях Kubernetes (версия 4.18).
Скорректирована работа по сканированию реестра образов по расписанию в случае возникновения ошибок с кодами 4ХХ и 5ХХ.
Исправлена логика работы при интеграции с помощью поддомена (с использованием отличных от стандартных имен) в реестре образов JFrog Artifactory.

Kaspersky Container Security версии 1.1

В Kaspersky Container Security 1.1 появились следующие возможности и улучшения:

Поддержка разных уровней критичности для обнаруженных вредоносных объектов. Решение предоставляет возможность принятия рисков для некритичных объектов.
Формирование отчетов по найденным уязвимостям, событиям и соответствию политикам. Решение дает возможность сформировать следующие виды отчетов:
- Сводный отчет по образам.
- Детализированный отчет по образам.
- Отчет по принятым рискам.
В зависимости от вида отчета создание и формирование отчетов осуществляется в разных разделах решения, в том числе CI/CD. Сформированные отчеты доступны для просмотра и скачивания в нескольких форматах в новом разделе главного меню Администрирование → Отчеты.
Оптимизация нагрузки на агентов CI-системы при встраивании в CI-пайплайн. В новой версии продукта доступны две схемы работы из CI:
- С использованием ресурсов CI-агента.
- Без использования ресурсов CI-агента. В этой схеме сканер запускается в CI-пайплайне, считает и передает SBOM установленному решению. Этот SBOM-файл анализируется доступными сканерами решения, а затем результат сканирования возвращается в CI-систему.
Обеспечение работы сканеров решения при наличии прокси-сервера между реестром образов и установленным решением.
Поддержка областей применения для разграничения доступа ролей пользователей к отслеживаемым с помощью решения ресурсам оркестратора и реестрам образов, а также для разграничения действий политик безопасности с этими ресурсами и реестрами.
Контроль целостности образов при помощи подписи образов с возможностью блокировать развертывание образов, не прошедших такой контроль. Решение предоставляет возможность интеграции с внешними модулями Notary и Cosign для проверки подписи. Для блокирования развертывания образов, которые не прошли проверку целостности и подлинности подписи, в политики среды выполнения добавлен новый блок Защита содержания образа.
Контроль запуска приложений и сервисов внутри контейнеров. Решение позволяет контролировать и блокировать процессы, запускаемые внутри контейнеров.
Профилирование среды выполнения контейнеров, позволяющее отслеживать аномалии на основе собственного или предустановленного шаблона-профиля. Решение предоставляет возможность создавать и использовать профили среды выполнения, внутри которых указываются разрешения для запускаемых внутри контейнеров процессов и сетевого взаимодействия. Профили применяются в отношении контейнеров, которые запускаются в среде выполнения, и ограничивают их работу в соответствии с заданными параметрами.
Мониторинг и контроль трафика между контейнерами, компонентами платформы контейнеризации, внешними приложениями и ресурсами. Чтобы воспользоваться возможностью ограничить сетевую коммуникацию контейнеров в среде выполнения, требуется настроить следующие параметры:
- Порты (TCP/UDP).
- IP-адреса (IPV4, IPV6).
- Блокирование входящих и/или исходящих сетевых соединений.

Вам помогла эта статья?

Что нам нужно улучшить?

Спасибо за ваш отзыв, вы помогаете нам становиться лучше!