Ограничения и предупреждения для версии 2.5

Kaspersky Container Security 2.5 имеет ряд некритичных для работы приложения ограничений:

• В Kaspersky Container Security 2.5 сканирование узлов кластера может функционировать неправильно при использовании агентов версий 2.1.х.

  Мы рекомендуем обновить агентов до версии 2.5.0.

• Если вам нужно изменить значение переменной CLICKHOUSE_SINGLE_STORAGE c true на false, перед обновлением решения с версии 2.1.х до версии 2.5.0 необходимо выполнить следующую команду:

  kubectl delete statefulset/kcs-clickhouse -n kcs

  Выполнение этой команды не приводит к потере данных.

• Действия по мониторингу авторизации на хосте не осуществляются при работе с версией ядра ОС Linux 4.19 и более ранними версиями.
• При работе с внешней СУБД PostgreSQL 11.* или выше требуется подключить к базе данных Kaspersky Container Security расширения uuid-ossp и pgcrypto.
• Длительность процесса обновления Kaspersky Container Security зависит от объема сформированных баз данных. Если в вашей базе данных хранится большое количество записей в таблицах с результатами сканирования образов, описанием уязвимостей и принятых рисков, обновление может происходить в течение нескольких часов.

  Мы рекомендуем проводить обновление решения в нерабочее время.

• Если вам необходимо выполнять много проверок образов на уязвимости, то мы рекомендуем вам отключить в политике сканирования настройку сканирования на ошибки конфигурации, так как эта операция может кратно увеличить затраты ресурсов, особенно при работе с образами больших размеров.
• При включенной в сканере политике сканирования на ошибки конфигурации время сканирования существенно увеличивается. Испытания на образах, содержащих до 1000 конфигурационных файлов в форматах YAML, YML и JSON, прошли успешно, но мы не можем гарантировать корректную работу сканера с образами, в составе которых более 1000 конфигурационных файлов.
• Мы не рекомендуем сканировать образы на наличие конфиденциальной информации, если их размер превышает 10 ГБ.
• Отмечается некорректная работа Kaspersky Container Security при попытке одновременного запуска с другими приложениями для обеспечения контейнерной безопасности. Если процессы другого используемого приложения пытаются вмешиваться и/или встраиваться в работу контейнеров, компонент Защита от файловых угроз может функционировать неправильно. Вы можете временно выключить компонент Защита от файловых угроз в политиках сканирования.

  Мы рекомендуем не использовать Kaspersky Container Security одновременно с другими приложениями для обеспечения контейнерной безопасности.

• Для использования сетевых политик, поставляемых с Kaspersky Container Security, необходимо убедиться в следующем:
  • В пакете Helm Chart для развертывания и установки компонентов решения для параметра networkPolicies.create указано значение true (значение по умолчанию).
  • Сетевой плагин в кластере, в котором развернуто решение, поддерживает сетевые политики Kubernetes. Если сетевые политики не поддерживаются, Kaspersky Container Security создаст объекты NetworkPolicies, но они не будут применяться и фильтровать трафик.

    Если объекты NetworkPolicies отсутствуют или не применяются, защищенность решения снижается.

• Kaspersky Container Security поддерживает корректное сканирование только образов архитектуры linux/amd64. При проверке мульти-платформенных образов сканер автоматически будет пытаться применить вариант архитектуры платформы linux/amd64.
• Для обеспечения максимальной совместимости используемых Kaspersky Container Security BPF-программ с многочисленными Linux-дистрибутивами и версиями ядра ОС Linux в решении используется технология eBPF CO-RE. Поскольку Kaspersky Container Security работает непосредственно с ядром хост-сервера ОС Linux (узлом), требуется соблюдать следующие требования и ограничения:
  • Для использования eBPF CO-RE ядро ОС Linux должно быть скомпилировано с флагом CONFIG_DEBUG_INFO_BTF=y. Большинство Linux-дистрибутивов имеют этот флаг при сборке ядра, подставляемого в комплекте с дистрибутивом.
  • Если обновление версий ядра осуществляется вручную, необходимо проверить наличие указанного выше флага.

  Для более ранних версий Linux-дистрибутивов и версий ядер ОС Linux, которые не имеют встроенной поддержки eBPF CO-RE, обратная совместимость обеспечивается Kaspersky Container Security.

• Если на узле используется скомпилированное вручную ядро ОС Linux, для обеспечения работоспособности функциональной возможности мониторинга среды выполнения с использованием профилей среды выполнения контейнеров при конфигурации ядра необходимо включить следующие параметры:
  • CONFIG_BPF=y
  • CONFIG_BPF_SYSCALL=y
  • CONFIG_BPF_EVENTS=y
  • CONFIG_NET_CLS_BPF=m
  • CONFIG_NET_ACT_BPF=m

  Для обеспечения более высокой производительности BPF-кода мы рекомендуем включить следующие параметры:
  CONFIG_BPF_JIT=y
CONFIG_HAVE_BPF_JIT=y

• Для доступа в Kubernetes Kaspersky Container Security использует функциональные возможности представленного в Kubernetes динамического контроллера доступа. Безопасность вашего кластера может быть усилена с помощью настройки авторизации между API Kubernetes и агентом kube-agent, который обеспечивает работу динамического контроллера доступа со стороны решения. Настройку авторизации требуется осуществлять в соответствии с инструкцией Kubernetes.