Софт в контейнере: как защитить бизнес от новых киберугроз
Что такое контейнеризация и зачем она нужна бизнесу
Контейнеризация — это технология, позволяющая разрабатывать и запускать приложения на любой операционной системе (ОС) изолированно от нее. Отдельные приложения или микросервисы (типичные примеры: видеоплеер на сайте компании или сервис доставки в интернет-магазине) упаковываются в оболочку, которая называется контейнером.
Внутри контейнера находится среда, необходимая для запуска и работы микросервисов: файлы, библиотеки, метаданные и т.д. Такая архитектура позволяет не допускать сбоя в работе всего приложения при проблемах в одном контейнере, что повышает надежность и безопасность всего продукта, обеспечивает гибкое управление и масштабирование инфраструктуры, а также обеспечивает возможность непрерывной разработки и развертывания.
Например, разработчики, которые хотят опробовать новую версию софта, могут запустить изолированный тестовый контейнер и потратить время и силы на улучшение функций продукта, а не на настройку и отладку среды для тестирования. Таким образом, контейнеризация помогает сократить время вывода приложений на рынок.
Глобальному рынку контейнерных приложений предсказывают быстрый рост, в среднем — на 29% в год. Согласно прогнозам, в 2024 году его размер составит $5,45 млрд, а к концу 2029 года он достигнет $19,41 млрд.
Опросы Cloud Native Computing Foundation показывают, что 44% компаний (в основном — в Северной Америке и Европе) пользуются контейнерами для решения большинства или даже всех производственных задач. Среди российских компаний контейнеризация также стала популярной технологией в последние несколько лет, отмечает директор технического дивизиона «Кросс технолоджис» Андрей Маклаков.
Эксперт ссылается на совместное исследование CNews Analytics и «Инфосистемы Джет», согласно которому 45% российских предприятий (в опросе приняли участие 108 компаний из рейтинга РБК 500), имеющих собственную разработку, используют контейнеризацию в продуктивных средах, то есть там, где система работает с реальными данными и обрабатывает запросы конечных пользователей. Еще 23% респондентов сообщили о применении контейнеров в тестовых средах.
В России контейнеризация пока наиболее востребована в финансовом секторе. Также технология широко используется в торговле и промышленности. По словам Андрея Маклакова, популярность контейнеризации как в нашей стране, так и во всем мире, будет только расти благодаря нескольким преимуществам технологии.
Преимущества контейнеризации для бизнеса
- Гибкость: контейнеры позволяют запускать приложения на любой платформе, что упрощает развертывание и управление инфраструктурой.
- Эффективность: контейнеры значительно уменьшают время развертывания приложений и позволяют запускать больше экземпляров приложений на одном виртуальном и физическом сервере.
- Устойчивость: благодаря распределению микросервисов внутри приложения по разным контейнерам сбой в одном из них не приведет к нарушению работы всего приложения.
- Масштабируемость: контейнеры легко масштабируются, что позволяет быстро добавлять новые ресурсы при необходимости.
- Экономия: использование контейнеров позволяет экономить на инфраструктуре и персонале благодаря автоматизации процессов развертывания и управления приложениями.
Почему контейнеры нуждаются в особой защите от киберугроз
На первый взгляд может показаться, что изоляция компонентов от внешней среды должна повысить безопасность приложений и инфраструктуры, но на деле все сложнее: контейнерная архитектура остается уязвимой для киберугроз, что может значительно влиять на бизнес-процессы предприятий.
Так, по данным Red Hat, 90% компаний, использующих в том или ином виде контейнеры, сталкивались хотя бы с одним киберинцидентом в среде Kubernetes (открытое ПО для автоматизации развертывания, масштабирования и управления контейнерными приложениями. — «РБК Тренды») в течение последних 12 месяцев. При этом 67% респондентов были вынуждены задержать запуск приложений из-за проблем с безопасностью контейнеров, а 37% столкнулись с потерей клиентов и доходов.
«В России можно наблюдать примерно такие же показатели. Дело в том, что технологии контейнеризации начали развиваться относительно недавно. Каждый день появляется все больше новых продуктов и сервисов для построения инфраструктуры. Злоумышленники, в свою очередь, находят все больше новых уязвимостей», — поясняет директор технического дивизиона «Кросс технолоджис» Андрей Маклаков.
Фото: АО «Кросс технолоджис»
Чаще всего, продолжает директор технического дивизиона «Кросс технолоджис», компании сталкиваются с проблемами уязвимых образов (один из главных элементов контейнерной инфраструктуры, содержит в себе компоненты, необходимые для нормальной работы приложения. — «РБК Тренды»), некорректных конфигураций, нарушения конфиденциальности, а также сетевых политик контейнеров.
Зачастую российские компании не уделяют должного внимания вопросам безопасности контейнерной инфраструктуры. Так происходит из-за относительной новизны технологии: бизнесу не хватает опыта и специальных знаний, чтобы защититься от угроз.
Кроме того, до 2022 года контейнерные технологии не были стандартизированы и не контролировались Федеральной службой по техническому и экспортному контролю (ФСТЭК). Андрей Маклаков отмечает, что только после выхода приказа ФСТЭК № 118 появились требования, применяемые к контейнерной инфраструктуре. Компании должны выполнять их, чтобы защитить сведения, составляющие государственную тайну, или иную информацию ограниченного доступа. В частности, требования по безопасности информации предъявляются к выявлению уязвимостей в образах контейнеров, изоляции контейнеров, регистрации событий безопасности в средстве контейнеризации и т.д.
При этом обычные средства киберзащиты, как и решения с открытым исходным кодом, не могут обеспечить безопасность контейнерной архитектуры компании.
Почему традиционные инструменты киберзащиты неэффективны
- Контейнеры имеют свою специфику и уязвимости, отличающиеся от традиционных систем. Некоторые уязвимости могут быть связаны с конфигурацией контейнера или с использованием непроверенных или устаревших компонентов, которые не учитываются обычными средствами киберзащиты.
- Контейнеры динамичны, они часто удаляются и пересоздаются, возвращаясь в исходное состояние.
- Контейнеры изолированы от операционной системы, а значит, установка традиционных решений для защиты внутрь каждого контейнера затруднена или невозможна, а также может привести к значительным расходам вычислительных ресурсов компании.
- Контейнерная инфраструктура содержит уникальные сущности, например образы и реестры. Традиционные средства киберзащиты не умеют с ними работать.
Как компании могут защитить процесс разработки ПО в контейнерах
Сейчас на рынке стали появляться специализированные отечественные решения, позволяющие бизнесу перейти от процессов DevOps (набор принципов и подходов, позволяющих компании эффективно разрабатывать и эксплуатировать приложения) к DevSecOps (разработка ПО с учетом необходимости защиты от актуальных киберугроз, в том числе угроз в отношении сред контейнеризации и самих контейнеров), рассказывает Андрей Маклаков.
В качестве примера он приводит Kaspersky Container Security (KCS, входит в реестр отечественного ПО). KCS обеспечивает безопасность контейнерных приложений на всех этапах жизненного цикла — от разработки до эксплуатации.
Система KCS помогает компаниям сделать процесс разработки и эксплуатации контейнерных приложений безопасным за счет специализированных технологий защиты образов, реестров образов, оркестратора, контейнеров и операционной системы хоста, а также комплексного мониторинга контейнерной среды, перечисляет Андрей Маклаков. По его словам, важным преимуществом решения для российских заказчиков является возможность автоматической проверки на соответствие требованиям регуляторов и стандартам безопасности.
В целом, KCS позволяет высвободить ресурсы службы информационной безопасности компании, сократить время вывода приложений на рынок, минимизировать риски и предотвратить возможные финансовые потери.
«Кросс технолоджис», со своей стороны, выступает в роли интегратора IT-решений и решений в области информационной безопасности. Внедрение процессов DevSecOps, систем безопасной интеграции приложений и специализированных решений по обеспечению безопасности контейнеров, подобных KCS, становится все более востребованным у российских компаний в рамках процессов цифровой трансформации и увеличения доли собственной разработки ПО. Компания имеет большой опыт проектирования и внедрения защищенных IT-инфраструктур, в том числе на базе решений «Лаборатории Касперского» («Кросс технолоджис» является авторизованным партнером «Лаборатории Касперского»).
«Мы выявляем и подсвечиваем заказчику слабые места в его системе защиты, вырабатываем и предлагаем оптимальные решения по нейтрализации актуальных угроз безопасности информации, эффективно встраиваем их в существующую IT-инфраструктуру либо создаем новую, уже защищенную by design (то есть защита заложена уже на этапе проектирования инфраструктуры. — «РБК Тренды»)», — рассказывает Андрей Маклаков.
В итоге бизнес получает надежную защиту данных на стадии хранения, сборки, запуска и эксплуатации ПО.
Реклама: АО «Кросс технолоджис», erid: 4CQwVszH9pWwnwZV3oV