Евгений Касперский в Школе Злословия - Страница 3 - Интервью с экспертами - Форумы Anti-Malware.ru Перейти к содержанию
Сергей Ильин

Евгений Касперский в Школе Злословия

Recommended Posts

Сергей Ильин
Предмет дискуссии (идея регулирования интернет) не очевиден. Идея регулирования расплывчата и явно не раскрыта. Скажем, предъявить паспорт для того чтобы сказать слово_вписать_коммент в форум СМИ - абсурд. Возможно, прокатит в России где озабочены борьбой с оппозицией, в западных странах - не пройдет.

Он существует в каком-то оформленном виде? можно с ним ознакомиться? Или он существует лишь в отдельно взятой голове Евгения Касперского в виде НАВЯЗЧИВОЙ ИДЕИ?

Согласен с santy в том, что идея регулирования интернет никак не описана сейчас. Уже где-то год прошел с первых попыток пробного зондирования этой темы, но ничего так и не появилось. Кто-то должен написать документ, создать концепцию, хотя бы на уровне идеи, которую потом можно будет в осязаемом виде публично обсуждать. Кстати, раз уж Евгений эту тему во многом в России поднял, то ему сам бог велел эту идея развить и представить такой документ. Да и с точки зрения PR идея сильная.

Но тут работа совсем другого уровня, не уверен, что сейчас у кого-либо хватит смелость ее активно пропагандировать, по крайней мере у нас в стране точно. Год прошел, а никто толком ничего не сделал. Так поговорили по форумам и кулуарах, и на этом все закончилось.

Если говорить о реализации, то мне кажется вполне разумной мысль Касперского на тему того, что действия с критически важными ИТ-ресурсами, должны регулироваться жестко. Но с другой стороны, это отдельная подзадача, которая в головах обывателей совсем не связана в контролем сети, да и паспорта для решения этой задачи в общем-то не нужно. Это задача ограничения несанкционированного доступа к данным (НСД). Есть сертификация, есть законодательный акты на эту темы. Никто вам не даст просто так поставить какой-то быдлософт в системы обрабатывающие информацию гос. важности, и тем более с доступов в Интернет. Если такое есть, то это уже халатность-преступление, а это совсем другая история.

А реально по теме контроля получается, что реальных ответов на вопросы santy сейчас нет. Каждый сразу скажет. ОК, паспорта или ID. А вот в реале они есть у нас, а почему преступность то все равно есть? И что тут можно ответить ...

А основная проблема при борьбе с киберпреступностью конкретно у нас в стране связана с тем, что не признаётся наличие проблемы. Хотя средства все для борьбы есть.

Кризис власти. Низы не хотят, верхи не понимают или не могут ... Ну или наоборот, в зависимости от ситуации.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Итого, в предложении ввести интернет-паспорта я вижу как избыточность, так и дополнительные возможности для создания новых преступных схем. Ещё одна сущность, которую я должен буду "всегда иметь при себе" и одновременно "бережно хранить".

и который, кстати, при нынешнем уровне бюрократии в России придется получать в КИБЕР-ГАИ, пройдя платное обучение, и подписав кучу обязательств о нераспространении, и которого, вы, если вы человек известный и публичный, можете легко лишиться на неопределенный срок по заявлению какого нибудь анонимного кибер_дружинника. :).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Razboynik
Можно было бы их оперативно блокировать телефоны прям по спискам, и уже бы никаких винлоков не было, но никто не хочет этого делать.

Взаимодействие с органами других стран здесь не нужно, по винлокам практически всё сосредоточено в России.

Нужны-ли им какие-то винлоки?.. Для чего нужны инет-паспорта было озвучено выше, а именно:

Возможно, прокатит в России где озабочены борьбой с оппозицией, в западных странах - не пройдет.

======================

Да и с точки зрения PR идея сильная.

Если честно, правильно заметили ведущие - пиар известной фирмы уже и так лезет со всех щелей где надо и где ненадо и... просто отворачивает. Может лучше подумать, что сделать для людей, а не для пиара - от этого выигрыш получат не только люди, но и фирма. ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Возможно, прокатит в России где озабочены борьбой с оппозицией, в западных странах - не пройдет.

Ага, как пить дать - не пройдет.

http://www.businessweek.com/news/2011-01-0...nistration.html

P.S. Как и ожидалось, все рассуждения против - так и продолжаются сводиться к "у нас страна неправильная". Понимаю почему, но не понимаю причем тут Касперский и идея интернет-паспортов.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
100500 кило

понравилось как троллили касперского, а он двух слов связать не мог, прыгал от одной темы в другую.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
P.S. Как и ожидалось, все рассуждения против - так и продолжаются сводиться к "у нас страна неправильная".

Можно воспринять и так. Лично я говорил о том, что не используются даже те средства, что есть, поэтому непонятно, чем с введением интернет-паспортов будет лучше. Непонятен эффект, а деньги предполагается на это потратить вполне реальные. При том, что деньги в текущей мировой социально-экономической обстановке есть куда тратить, на более важные вещи.

Кстати, эта Internet Identity System, которая составляет today plans for an Internet identity system that will limit fraud and streamline online transactions - это ж явно не те же самые паспорта, что предлагает ЕК. Не получится так, что несколько крупных стран введут свои системы идентификации интернет-пользователей, которые будут несовместимы между собой, и таким образом мы снова не получим ничего глобального?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
если вы человек известный и публичный, можете легко лишиться на неопределенный срок по заявлению какого нибудь анонимного кибер_дружинника.

Практика показывает, что в таких случаях вводятся для таких людей всяческие неприкосновенности, которые теоретически снять можно, но практически некоторые из таких людей с иммунитетом будут использовать эту неприкосновенность для тех же самых незаконных действий. Соответственно, стоит ожидать появления глобальной интернет-коррупции ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Тимур
понравилось как троллили касперского, а он двух слов связать не мог, прыгал от одной темы в другую.

А мне кажется, что ведущие слишком не логично вопросы задавали. Слишком разносторонние. Что Касперский и отвечал на их вопросы, а не рассказывал. Ведущие не культупные.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
KAOR
По остальным вопросам: думаю, для начала нужно определиться нужен ли нам такой контроль, а затем прорабатывать технические детали его обеспечения.

Полностью согласен с вами, в целом мне идея Е.Касперского нравится, если он этого конечно будит толк, что бы воплотить в реальность тут надо все проанализировать, что бы это действовало. Антивирусные программы Касперского радуют надеюсь все будит в таком же духе хорошо под защитой.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
А любые попытки разорвать эти связи, например, попытки ограничения свободы Интернета или распространения инноваций (я думаю, это сегодня понимают все) приведут мир к стагнации. Россия не будет поддерживать инициативы, которые ставят под сомнение свободу в Интернете.

http://community.livejournal.com/blog_medvedev/65643.html

:)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Валера, там заголовок ровно противоположенный по смыслу выделенной цитате :)

Свобода в интернете должна быть основана на требованиях морали и законодательства
Мораль заведомо понятие относительное, для кого-то домашнее порно выкладывать в сети или ругаться матов в чужих блогах - это вполне нормально. А законодательство так вообще имеет у нас тенденцию элегантно видоизменяться под нужные верхушке задачи.

Поэтому получается как всегда. Россия за свободу слова, но в рамках закона и морали :) И не поспоришь же!

Да, там первый же коммент о том же самом :)

Страшновато читать такие формулировки.

Если свобода будет так же виртуально основываться на требованиях морали и законодательства, как российская действительность последних лет, то можно сказать, что свободе ничто не будет угрожать. Её просто не будет.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
для кого-то домашнее порно выкладывать в сети

Народные кибер-дружины. Неплохое начинание. И даже денег на них много не надо.

или ругаться матов в чужих блогах

Мне не сложно бороться с матом в своём блоге ;) Его просто нет.

Да, я цитату вырвал из контекста. Идея интернет-паспортов тоже интересна по своей сути. Но я немножко пооппонировал. Любую, даже самую хорошую, идею можно испортить реализацией. Особенно если идея глобальная. В этом случае будет чудом, если удастся реализовать так, как задумано в голове.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik

Вы так говорите "бороться с матом в своем блоге", как будто это что-то плохое.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Вы так говорите "бороться с матом в своем блоге", как будто это что-то плохое.

Ну вообще-то да, это нечто плохое. По крайней мере меня так в школе учили еще во времена СССР :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Вы так говорите "бороться с матом в своем блоге", как будто это что-то плохое.

Злословить :) в личном блоге - значить существенно сузить его аудиторию, особенно если среди аудитории блога много людей, которые не разговаривают на мате и которым читать нелитературную речь неприятно. Кстати, без матов вполне можно написать более жёстко, чем с использованием матов. Но это да, нужно уметь.

А вообще сначала бы понять, к кому Вы обращаетесь, Дмитрий. Вопрос о матах в блогах поднял не я, мы тут обсуждаем концепцию наведения порядка в Интернете вроде как. Причём определённую концепцию, у которой есть плюсы и есть минусы.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Кстати, в обсуждаемой тут передаче от ведущей прозвучала потрясающая фраза, на которую я не сразу обратил внимание:

"Если я нахамила у кого-то в блоге, то меня что за это надо теперь наказывать?"

Да, надо наказывать! Оскорбление в сети ничем не отличается от такового в реале. Но стало тут какой-то уже нормой что ли.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Касперский: Computer-based Internet is going to die. That's too late to think about digital ID's.

Eugene Kaspersky/ Press Conf: ". ”itґs too late for internet passports, we need smartphones ID”

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Computer-based Internet is going to die.

Hm... What-based Internet is going to be born?

That's too late to think about digital ID's.

We're all gonna die. Again.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Hm... What-based Internet is going to be born?

Mobile-based, dude!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Mobile-based, dude!

A think though mobile-based Internet is just an another extention of Internet, fellow.

Mobile devices can have IDs, GPS etc. Missiles will catch the target.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Mobile devices can have IDs, GPS etc. Missiles will catch the target.

Exactly what i said few days ago, eh ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Exactly what i said few days ago, eh ?

Yeah, that's it.

But why 'that's too late to think about digital ID's' then? What's different between laptops and mobile devices? What's happened? What's going on?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
it's too late for internet passports, we need smartphones ID

Hm... Why smartphones' IDs only? Why not global, why not all Internet devices?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Umnik
Ну вообще-то да, это нечто плохое. По крайней мере меня так в школе учили еще во времена СССР laugh.gif

Блог есть средство самовыражения. Тут принцип "не нравится - не читай" как нельзя кстати. Конечно, это самовыражение не должно мешать другим, т.е. никаких прямых оскорблений.

Злословить smile.gif в личном блоге - значить существенно сузить его аудиторию, особенно если среди аудитории блога много людей, которые не разговаривают на мате и которым читать нелитературную речь неприятно.

Ну, во-первых мат ради мата - это признак школоты и рассматривать это не стоит. Во-вторых не нужно бросаться в крайность - не разговаривать, а именно выражаться. В-третьих это описание не личного блога, а попытка стать в своих собственных глазах корреспондентом какой-нибудь газеты/журнала.

Вопрос о матах в блогах поднял не я, мы тут обсуждаем концепцию наведения порядка в Интернете вроде как.

А я думал обсудаем выпуск передачи, а эту концепцию обсуждают уже который раз на этом ресурсе. Тут как тролль, так сразу вспоминает про паспорты от Е. К. в Инете, при том, что он сам заявил буквально следующее: "Только я начал всех агитировать за то, что думать надо о безопасности мобильных сетей, а на традиционный Интернет забить..." Но кого это интересует, правда? Ведь значительно интереснее обсудить три общих фразы и выпуска передачи, чем попросить развернутое описание идеи у автора и уже ее обсудить.

Valery Ledovskoy

A.

Ай вонт спик фром май харт. Ит из рашн ресурс энд ви а маст юз рашен ленгвич.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Valery Ledovskoy
Блог есть средство самовыражения. Тут принцип "не нравится - не читай" как нельзя кстати. Конечно, это самовыражение не должно мешать другим, т.е. никаких прямых оскорблений.

Если не думать о читателях, то да.

В-третьих это описание не личного блога, а попытка стать в своих собственных глазах корреспондентом какой-нибудь газеты/журнала.

:blink: Ну, может быть. Для тех, кто не писал никогда для газеты/журнала - может быть. Но я бы не купил журнал, где даже не разговаривают, а выражаются матом. Хотя в художественной литературе встречаются замечательные произведения с матом.

...Ирен округлившимися глазами вытаращилась на ушастика-путаника.

— Молодой человек, это существо сказало fuck?

— Неважно, что он сказал, — ответил Джейк...

© Стивен Кинг, Тёмная башня.

Но когда это один-два мата на произведение в 5000 страниц, которое писалось 30 лет - это я понять могу. Да, без этого матюка, наверное, оно бы таким не было. Но если мы берём блогосферу, СМИ и пр. Нет, я не считаю, что это хорошее явление.

Тут как тролль, так сразу вспоминает про паспорты от Е. К.

Надеюсь, это не мне :) Не за этим здесь. Как раз интересно было обсудить вендоронезависимую тему, посвящённую глобальной проблеме инфобезопасности.

Ай вонт спик фром май харт. Ит из рашн ресурс энд ви а маст юз рашен ленгвич.

Sorry, but it's untranslatable.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • Ego Dekker
      Домашние антивирусы для Windows были обновлены до версии 19.0.14.
    • PR55.RP55
      Microsoft ускоряет Проводник в Windows 11 с помощью предзагрузки https://www.comss.ru/page.php?id=18618
    • AM_Bot
      Вендор Crosstech Solutions Group выпустил решение для защиты контейнерной инфраструктуры Crosstech Container Security (CTCS). Оно обеспечивает безопасность контейнерных сред: от сканирования образов до контроля запуска рабочих нагрузок и реагирования на инциденты в средах выполнения.      ВведениеФункциональные возможности Crosstech Container Security2.1. Анализ и контроль безопасности образов2.2. Контроль запуска контейнеров2.3. Безопасность в средах выполнения (Runtime Security)2.4. Безопасность окружения2.5. Внешние интеграцииАрхитектура Crosstech Container Security3.1. Основные компоненты Crosstech Container SecurityСистемные требования и лицензирование Crosstech Container Security4.1. Лицензирование4.2. Требования к аппаратной части4.3. Требования к программной части4.4. Процесс установкиСценарии использования5.1. Сценарий №1. Сканирование образов5.2. Сценарий №2. Политики безопасности образов контейнеров5.3. Сценарий №3. Контроль запуска контейнеров5.4. Сценарий №4. Мониторинг безопасности сред выполненияВыводыВведениеРоссийский рынок контейнерных разработок постоянно растёт. В 2024 году затраты на ПО для контейнеризации достигли 3 млрд рублей — это на 66 % больше, чем в 2023. Контейнерные технологии ускоряют процессы разработки, экономят ресурсы компаний, поэтому их всё чаще внедряют в свою работу ИТ-департаменты.Вместе с ростом масштабов контейнеризации увеличивается и поверхность атак: уязвимости в образах, ошибки конфигураций, несанкционированные действия внутри контейнеров. Crosstech Container Security помогает компаниям выстраивать комплексную систему защиты контейнерной инфраструктуры.Функциональные возможности Crosstech Container SecurityCrosstech Container Security объединяет функции анализа, мониторинга и управления безопасностью контейнерных сред. Решение охватывает весь жизненный цикл контейнера — от момента его создания до удаления. Продукт помогает DevSecOps-командам выявлять уязвимости, проверять конфигурации, контролировать сетевую активность и реагировать на инциденты в режиме реального времени.Анализ и контроль безопасности образовCrosstech Container Security интегрируется с реестрами хранения образов и позволяет проводить их сканирование как в ручном режиме, так и по расписанию. В результате анализа система обнаруживает дефекты в образах: уязвимости, неправильные конфигурации, секреты, а также фиксирует используемые в образах OSS-лицензии для пакетов и библиотек. По каждому найденному дефекту предоставляется детальная информация.CTCS поддерживает экспорт SBOM в форматах SPDX и CycloneDx, что упрощает аудит и обмен данными с другими решениями. Интерфейс продукта предоставляет визуализацию образов с маппингом (сопоставлением данных) на дефекты безопасности. CTCS также осуществляет дискаверинг (обнаружение) образов, располагающихся в защищаемых кластерах и на standalone-хостах.Для автоматизации контроля доступны настраиваемые политики безопасности образов, разделяемые по критериям:наличие уязвимостей в образах контейнеров выше заданной оценки критичности;наличие уязвимостей в образах контейнеров согласно заданным идентификаторам;обнаружение root в Dockerfile;возможность указания перечня образов, на которые будет распространяться созданная политика безопасности образов.При нарушении хотя бы одного из критериев политики администратор получает уведомление в интерфейсе CTCS и может оперативно принять меры: заблокировать образ, исключить его из деплоя или добавить в список исключений с указанием причины. Такой подход обеспечивает прозрачность процессов и повышает уровень доверия к среде разработки и эксплуатации.Контроль запуска контейнеровРешение обеспечивает контроль запуска контейнеров как в средах Kubernetes, так и на отдельных standalone-хостах в соответствии с заданными политиками безопасности. Это позволяет предотвращать запуск рабочих нагрузок, не соответствующих требованиям безопасности компании, ещё на этапе их инициализации.В зависимости от настроек администратор может выбрать режим реагирования: блокирование или оповещение о нарушении политики безопасности. Информация обо всех срабатываниях отображается в интерфейсе системы, обеспечивая прозрачность и возможность оперативного реагирования.Политики безопасности включают следующие критерии:попытка запуска контейнеров на базе образов, не соответствующих политикам безопасности;попытка запуска контейнеров из-под пользователя root;попытка запуска контейнеров с повышенными привилегиями ядра Linux;контроль запуска контейнеров на базе образов, не прошедших сканирование CTCS.Дополнительно решение поддерживает интеграцию с OPA Gatekeeper и имеет возможность создания и импорта политик через интерфейс CTCS.Безопасность в средах выполнения (Runtime Security)CTCS использует возможности инструмента Tetragon для создания и применения кастомных политик безопасности, позволяющих контролировать сетевые взаимодействия внутри контейнеров. Администраторы могут выбрать набор кластеров для распространения политик, что обеспечивает гибкость при внедрении требований безопасности.Вся информация о срабатываниях политик фиксируется в интерфейсе CTCS, предоставляя специалистам по информационной безопасности прозрачную картину активности в средах выполнения и возможность оперативного реагирования на инциденты.Безопасность окруженияРешение выполняет сканирование кластеров на соответствие стандартам конфигурирования CIS Kubernetes Benchmarks. Аналогично система проводит проверку standalone-хостов на соответствие CIS Docker Benchmarks. Дополнительно CTCS поддерживает сканирование конфигурационных файлов, расположенных в директориях нод кластеров, выполняя роль сканера на основе IaC (Infrastructure as Code, управление инфраструктурой через использование кода).Внешние интеграцииРешение поддерживает интеграцию с реестрами хранения образов, что обеспечивает доступ к актуальным данным для анализа и контроля безопасности контейнеров. Также CTCS поддерживает передачу журналов событий в системы сбора по протоколу Syslog для их централизованного хранения и обработки.Доступна интеграция с системой идентификации, управления доступом Keycloak с поддержкой OAuth и доменными службами каталогов. Это позволяет пользователям авторизовываться в интерфейсе системы через доменные учётные записи. Рисунок 1. Планы по развитию Crosstech Container Security Архитектура Crosstech Container SecurityАрхитектура CTCS реализована в формате однонаправленных соединений со стороны ядра системы в сторону агентов защиты (протокол TCP/IP), располагающихся в защищаемых кластерах. Такой подход позволяет использовать инстанс ядра в единственном экземпляре для инфраструктур, сегментированных по уровням доверия. Рисунок 2. Логическая архитектура Crosstech Container Security Основные компоненты Crosstech Container SecurityCTCS состоит из 3 основных компонентов:CTCS Core — группа микросервисов, отвечающая за управление системой: хранение данных, настроек, создание политик безопасности, бизнес-логика продукта, а также взаимодействие со смежными системами.CTCS Agent-Manager: модуль агент-менеджера реализован в формате оператора Kubernetes с целью контроля за установкой и изменениями кастомных ресурсов (custom resource definition, CRD), а также управления и передачи информации агент-воркерам, устанавливаемым на каждую защищаемую ноду в формате DaemonSet.CTCS Scanner — модуль, сканирующий образы контейнеров на уязвимости, неправильные конфигурации, конфиденциальные данные, информацию по OSS-лицензиям для пакетов и библиотек из состава образа, а также сканирующий кластеры на соответствие стандартам конфигурирования.Системные требования и лицензирование Crosstech Container SecurityПеред выбором модели лицензирования заказчикам рекомендуется оценить масштаб защищаемой инфраструктуры и нагрузку на кластеры. Crosstech Container Security предусматривает гибкий подход: ядро и агенты могут разворачиваться в разных сегментах сети, включая тестовые и продуктивные среды. Такой принцип позволяет оптимально распределять ресурсы и лицензии, избегая избыточных затрат.ЛицензированиеCTCS лицензируется по количеству защищаемых нод, на которые распространяются агенты защиты.В продукте реализовано гибкое лицензирование, которое позволяет заказчикам самостоятельно выбирать перечень защищаемых объектов. При достижении лимита по количеству лицензий, предусмотренных договором, администратор может отключить часть текущих объектов защиты и переназначить лицензии на новые кластеры и ноды. Рисунок 3. Включение/выключение агентов защиты Рисунок 4. Лицензии CTCS На странице лицензирования доступна подробная информация о параметрах действующей лицензии. Пользователь видит:количество оставшихся дней действия лицензии;количество нод, предусмотренных лицензией;актуальные данные о числе используемых нод в рамках лицензии;сведения о типе лицензии;информация о поставщике;информация о владельце лицензии.Рисунок 5. Страница «Лицензирование» Требования к аппаратной частиКластер, на котором производится установка CTCS, должен соответствовать минимальным характеристикам, приведённым ниже. Для определения значений millicpu (единицы времени процессора, эквивалентной тысячной части работы, которую может выполнить одно ядро CPU) рекомендуется воспользоваться документацией Kubernetes.Кластер, на который будет установлен helm-чарт ядра (без учёта сканера) должен иметь характеристики не ниже 8190 millicpu, 7410 MiB RAM.Для каждого экземпляра сканера: 3 CPU, 6 GB RAM, при добавлении дополнительных экземпляров значения увеличиваются пропорционально.В случае использования большего количества реплик значения пропорционально умножаются на их число. По умолчанию в чарте допускается до 6 реплик, что требует 18 CPU, 36 GB RAM.Каждый кластер для развёртывания чарт-агента должен иметь 2 CPU, 8 GB RAM.Необходимый минимум для каждой используемой СУБД PostgreSQL: 4 CPU, 8 GB RAM, 100 GB.Приведённые требования указаны для усреднённой конфигурации и могут быть изменены в зависимости от количества одновременных сканирований образов, генерируемых событий, деплоев, пространств имён (namespaces) и подов.Требования к программной частиДля корректной интеграции и работы приложение CTCS должно быть развёрнуто в кластере Kubernetes. При настройке системы в конфигурационном файле helm-чарта должны быть настроены необходимые параметры.Поддерживаемые контейнерные среды CRI (container runtime interface): containerd и docker.В момент выполнения инструкции на хосте администратора должны быть установлены следующие утилиты для выполнения установки:tar;helm;kubectl.Необходимые сервисы в инфраструктуре:PostgreSQL: рекомендуется размещать базу данных для хранения логов на отдельном инстансе от основной БД, чтобы избежать падения производительности основных операций при большом объёме логируемых событий;Keycloak (опционально, имеется возможность поставки в составе дистрибутива);Vault (опционально, имеется возможность использования стандартного объекта Kubernetes Secret).Требования к операционной системе и ядру:рекомендуется использовать ОС с версией ядра 5.4 или выше для обеспечения поддержки Tetragon;в ядре должна быть включена функция BTF;должны быть активированы модули eBPF и cgroup, а также корректным образом настроены или отключены модули безопасности Linux (LSM), контролирующие запуск eBPF-программ (в соответствии с официальной документацией Tetragon).Требования к версиям Kubernetes:центральная управляющая часть кластера – не ниже версии 1.23;дочерние кластеры – версия 1.23 или выше.Дополнительные требования:В кластере Kubernetes должен быть установлен, подключён и настроен storage class, в котором будет минимум 10 GB свободного места.В master-кластер должен быть установлен External Secrets (опционально).В дочерние кластеры должен быть установлен External Secrets (опционально).Во всех кластерах, где развёртывается ядро и агенты CTCS, должен быть установлен ingress-контроллер.Совокупность этих требований обеспечивает стабильную работу системы и корректное взаимодействие всех модулей CTCS. При соблюдении указанных параметров производительность решения остаётся предсказуемой даже при высокой интенсивности сканирований и большом количестве событий безопасности. Такой подход гарантирует надёжность, масштабируемость и устойчивость контейнерной инфраструктуры.Процесс установкиДля развёртывания CTCS вендор предоставляет архив, содержащий helm-чарты и образы системных контейнеров. При необходимости может быть предоставлена учётная запись для выгрузки дистрибутивов из репозиториев вендора напрямую.Сценарии использованияCrosstech Container Security закрывает ключевые задачи обеспечения безопасности контейнерных платформ — от анализа уязвимостей до защиты на уровне среды выполнения. Решение органично интегрируется в процессы DevSecOps и помогает компаниям повысить устойчивость инфраструктуры к современным киберугрозам без потери скорости разработки.Сценарий №1. Сканирование образовCTCS позволяет выполнять сканирование образов контейнеров, хранящихся как в интегрированных реестрах образов, так и локально в защищаемых кластерах. Рисунок 6. Подключённые реестры После интеграции с реестрами образов на вкладке «Образы» – «Реестры» отображается подключённый реестр и информация о хранящихся в нём образах. Реализовано в формате иерархии:Реестры.Название образа и количество его версий (тегов).Название образа и его версии.Карточка конкретного образа.Рисунок 7. Образ и список его версий Рисунок 8. Карточка образа На каждом уровне иерархии есть возможность запуска сканирования по требованию с выбором типа дефектов, которые будут учитываться в процессе сканирования. Дополнительно предоставляется общая информация об образе, данные о его соответствии установленным политикам, сведения о слоях образов с маппингом на обнаруженные дефекты. Рисунок 9. Слои образа На странице интеграций с реестрами в настройках доступно выставление расписания для проведения автоматизированного сканирования. Рисунок 10. Сканирование по расписанию Для работы с образами, обнаруженными локально в защищаемых кластерах, доступна отдельная вкладка «Образы» – «Локальные образы». Рисунок 11. Таблица локальных образов При запуске процесса сканирования доступен выбор ноды, на которой он будет проводиться. Если обнаруженный образ находится в интегрированном реестре, сканирование будет приоритетно выполняться на стороне ядра системы в рамках интеграции с реестром. Рисунок 12. Выбор нода для проведения сканирования Сценарий №2. Политики безопасности образов контейнеровВ рамках Crosstech Container Security реализовано создание политик безопасности для образов контейнеров. После их настройки система автоматически проверяет все известные образы на соответствие заданным критериям. По результатам проверки на карточке каждого образа отображается информация о соответствии или несоответствии политикам безопасности (Рисунок 7). Если образ нарушает несколько политик безопасности одновременно, в карточке отображается, какие именно политики безопасности были нарушены. Рисунок 13. Создание политики безопасности образов Сценарий №3. Контроль запуска контейнеровВ CTCS доступна интеграция с OPA Gatekeeper, обеспечивающая валидацию контейнерных деплоев и реагирование в соответствии с заданными политиками безопасности.При настройке политик безопасности доступен выбор режима реагирования — оповещение либо блокировка — а также определение перечня критериев безопасности, по которым будет осуществляться контроль. Рисунок 14. Таблица политик валидации и контроля запусков Политики безопасности могут создаваться по выделенным критериям (Рисунок 13) или импортироваться в виде кастомных политик (Рисунок 14). Рисунок 15. Создание политики валидации и контроля запусков Рисунок 16. Импорт кастомных политик безопасности Результаты срабатывания политик доступны в интерфейсе системы, что позволяет оперативно анализировать инциденты и корректировать настройки безопасности. Рисунок 17. Срабатывание политик валидации и контроля запусков Сценарий №4. Мониторинг безопасности сред выполненияВ текущей версии реализован мониторинг безопасности сред выполнения на базе Tetragon, что позволяет контролировать эксплуатацию рабочих нагрузок.В CTCS доступна форма для создания или импорта готовых политик безопасности с возможностью выбора области применения. Рисунок 18. Создание политики среды выполнения При срабатывании политик система отображает перечень событий в формате таблицы. Для каждого события можно перейти в режим детального просмотра, где отображается его идентификатор, дата и время создания, короткое описание и содержание в формате json. Рисунок 19. Событие срабатывания политики среды выполнения ВыводыАнализ решения Crosstech Container Security показал, что в версии 3.0.0 продукт предоставляет широкие функциональные возможности для защиты контейнерной инфраструктуры: от обеспечения безопасности образов контейнеров до контроля запуска и реагирования на нелегитимные процессы в средах выполнения в соответствии с политиками безопасности. CTCS также предоставляет инструменты для проведения сканирований защищаемых кластеров на соответствие стандартам конфигурирования, что повышает уровень безопасности контейнерной инфраструктуры.Достоинства:Архитектура. Благодаря однонаправленным соединениям со стороны ядра системы в сторону агентов защиты обеспечивается соответствие требованиям заказчиков, которые используют «Zero Trust»-модель на уровне сегментов инфраструктуры.Широкая площадь покрытия. CTCS обеспечивает контроль запуска контейнеров не только в рамках оркестратора Kubernetes, но и на отдельных хостах контейнеризации за счёт использования standalone-агентов.Гибкие возможности при работе с API. Весь функционал из веб-интерфейса CTCS также доступен для вызова через API, что позволяет специалистам заказчика решать нетривиальные задачи в рамках своей рабочей деятельности и интегрировать продукт в существующие процессы.Удобство при работе со сканированием образов. Иерархический подход обеспечивает гибкость при выборе области сканирования и повышает прозрачность анализа.Недостатки:Отсутствие возможности встраивания в процесс сборки (CI/CD) (планируется к реализации в первом квартале 2026 года).Отсутствие данных по ресурсам Kubernetes (Workloads, RBAC, Custom Resources, Feature Gates): планируется в 4-м квартале 2025 – 1-м квартале 2026).Отсутствие настройки гибкого разграничения прав доступа пользователей в интерфейс системы (реализация запланирована на первый квартал 2026).Отсутствие отчётности по результатам работы с системой (планируется в первом квартале 2026).Реклама, 18+. ООО «Кросстех Солюшнс Групп» ИНН 7722687219ERID: 2VfnxvVGwXfЧитать далее
    • demkd
    • PR55.RP55
      И ещё это: https://www.comss.ru/page.php?id=18330 Это и на работе Образов с Live CD может сказаться ?
×