SecRadar / Классы СЗИ / Безопасность контейнеров · класс 03.02 / 03.14 / 03.15 / 03.17 (нет отдельного кода)
Класс 03.02 / 03.14 / 03.15 / 03.17 (нет отдельного кода) · Реестр российского ПО
Российские средства защиты контейнеров и Kubernetes: из реестра
Container Security (безопасность контейнерных сред) — класс СЗИ, закрывающий весь жизненный цикл контейнеризированных приложений: image scanning (сканирование образов контейнеров на уязвимости, встроенные секреты, неправильные конфигурации и лицензионные риски ещё до запуска, часто с формированием SBOM), admission control (проверка и блокировка запуска подов/контейнеров в Kubernetes-кластере, не соответствующих политикам безопасности — например, запуск от root или с непроверенным образом), runtime-защита (детектирование аномального поведения и атак в уже работающих контейнерах — сетевые аномалии, эскалация привилегий, попытки побега из контейнера, обычно на базе eBPF) и IaC-сканирование (проверка манифестов Kubernetes/Dockerfile/Helm на соответствие CIS Benchmarks до деплоя).
6решений в подборке
3с действующим сертификатом ФСТЭК
Platform V DropAppвыше всех: 81 баллов
52-81разброс оценок в классе
Проверено экспертной редакцией SecRadar · по первоисточникам ФСТЭК / ФСБ / Банка России
В мировой практике (Aqua Security, Sysdig, Wiz, Palo Alto Prisma Cloud/Twistlock, Snyk) это часто объединяется в категорию CNAPP (Cloud-Native Application Protection Platform). Отдельная и важная для России оговорка: часть решений, которые рыночные обзоры относят к этому классу, — не отдельные оверлей-инструменты безопасности поверх ЛЮБОГО кластера, а сертифицированные K8s-платформы/дистрибутивы со встроенной защитой (аналог того, как Astra Linux или РЕД ОС встраивают требования доверия в саму ОС) — это разные модели внедрения и разная степень вендорского lock-in.
Ниже разобрано 8 наиболее заметных российских решений класса: вендор, номер реестра, статус сертификата ФСТЭК и какой зарубежный аналог заменяют. Всё на проверяемых данных.
Редакция SecRadar · как мы проверяем факты → Обновлено 27 сентября 2026 ✓ данные из Реестра российского ПО и Госреестр СЗИ ФСТЭК
Российский аналог зарубежного Безопасность контейнеров
Прямое сопоставление ушедших зарубежных решений с российскими из реестра. Маппинг — оценка редакции по классу задач и присутствию на рынке, не формальная сертификация «один-в-один».
заменяем Aqua Security / Sysdig
↓
CrossTech Container Security (Кросстех Солюшнс Групп) — наиболее полно документированный набор функций среди российских pure-play инструментов: image scanning с экспортом SBOM (SPDX/CycloneDx), runtime-защита на eBPF-технологии Tetragon, admission control через OPA Gatekeeper, IaC-сканирование по CIS Benchmarks; честная пометка — собственного действующего сертификата ФСТЭК на дату проверки нет
заменяем Sysdig (пионер runtime-детектирования)
↓
Luntry (Клаудран) — старейший российский pure-play вендор класса (в реестре с 2022 г.), сильный runtime + RBAC-анализ + автоматизация CIS Kubernetes Benchmark; с 2024–2025 гг. мажоритарно (65,8%) принадлежит группе «Солар»; сертификата ФСТЭК на дату проверки нет
заменяем Palo Alto Prisma Cloud (Twistlock)
↓
Positive Technologies Container Security (PT CS) — продукт крупного публичного вендора (МосБиржа) с широкой ИБ-экосистемой (MaxPatrol, PT NGFW); честная пометка — сам продукт вышел на рынок только в конце 2023 г. и не имеет отдельного сертификата ФСТЭК, несмотря на 7 действующих сертификатов у материнской компании на другие продукты
заменяем Wiz / Snyk (cloud-native, dev-first)
↓
Kaspersky Container Security (Ximi Pro / ООО «КСИМИ ПРО») — независимый стартап Ximi Pro, в который «Лаборатория Касперского» нарастила долю с 49% (2023) до 90% (июль 2025); честная пометка — сертификата ФСТЭК на дату проверки нет
заменяем встроенное сканирование образов внутри управляемой облачной платформы
↓
Deckhouse Kubernetes Platform Certified Security Edition (Флант) — ДРУГАЯ модель: не оверлей-инструмент, а сертифицированная (ФСТЭК №4860) K8s-платформа со встроенной защитой (Trivy-сканирование, RBAC-анализ, SBOM); чтобы получить эти функции, нужно перейти на сам дистрибутив Deckhouse, а не просто поставить агент в существующий кластер
Сравнение российских решений
6 решений · класс 03.02 · ещё 2 продукта без оценки / 03.14 / 03.15 / 03.17 (нет отдельного кода)Какие решения класса «Безопасность контейнеров» лучшие и кто в топе рынка — ниже рейтинг 6 решений (ещё 2 продукта — без оценки: документацию вендора прочитать не удалось) по прозрачному скору SecRadar, без пользовательских отзывов. Скор — покрытие функций, статус сертификата ФСТЭК и присутствие на рынке (оценка редакции). Реестр РПО и сертификаты ФСТЭК проверяйте по официальным реестрам — ссылки в ячейках и футере.
↔ таблицу можно прокрутить вбок
| Продукт | Вендор | Оценка | Ранг | Реестр РПО | Статус ФСТЭК | Заменяет |
|---|---|---|---|---|---|---|
| Platform V DropApp | СберТех (Сбербанк-Технологии) | 81 | Матрица подтверждает 8 из 10 признаков по документации вендора (233 страницы). Строка полгода стояла без оценки: корень platformv.sbertech.ru отдаёт 401, а раздел /docs/public/ открыт без входа — барьером была наша проверка, а не сайт | реестр РПО | ФСТЭК №4883 до 2029-12-04 | Red Hat OpenShift |
| NOVA Container Platform Special Edition | Orion soft (ООО «ОРИОН») | 67 | TAdviser: выручка Orion soft ₽4,31 млрд за 2025 г. (+36% от ₽3,17 млрд) — показатель всей экосистемы вендора (zVirt, Nova Container Platform, Cloudlink, Termit, StarVault), не отдельно контейнерной платформы; в рейтинге TAdviser500 (авг. 2025) — место 205 | реестр РПО | ФСТЭК №4943 до 2030-06-172 | встроенная защита управляемой контейнерной платформы (частично — функции Aqua/Sysdig) |
| Deckhouse Kubernetes Platform Certified Security Edition | Флант (АО «Флант») | 66 | TAdviser: выручка «Флант» от реализации собственных решений (Deckhouse Kubernetes Platform + Deckhouse Stronghold + Deckhouse Observability Platform) — ₽1,309 млрд за 2025 г. (+102%…TAdviser: выручка «Флант» от реализации собственных решений (Deckhouse Kubernetes Platform + Deckhouse Stronghold + Deckhouse Observability Platform) — ₽1,309 млрд за 2025 г. (+102% от ₽649 млн); Deckhouse Kubernetes Platform — лидер рынка коммерческих on-prem платформ контейнеризации в РФ по данным TAdviser (доля ~30%); выручка охватывает 3 продуктовые линии, не только защищённое издание | реестр РПО | ФСТЭК №4860 до 2029-10-041 | встроенное сканирование образов внутри управляемой платформы (аналог функций Aqua/Sysdig, но не отдельный оверлей-продукт) |
| Kaspersky Container Security | Ximi Pro / ООО «КСИМИ ПРО» (90% — «Лаборатория Касперского» с июля 2025 г.) | 54 | н/д в CNews Security/TAdviser Security по Container Security отдельно; бренд принадлежит независимому стартапу Ximi Pro (ООО «КСИМИ ПРО»), в который «Лаборатория Касперского» приобрела 49%…н/д в CNews Security/TAdviser Security по Container Security отдельно; бренд принадлежит независимому стартапу Ximi Pro (ООО «КСИМИ ПРО»), в который «Лаборатория Касперского» приобрела 49% в февр. 2023 г. и увеличила долю до 90% в июле 2025 г. (TAdviser); собственной публичной выручки продукта не найдено, но продукт активно продаётся отдельными SKU (Standard/Advanced) и уже на версии 2.0+ | реестр РПО | проверить в реестре4 | Wiz / Snyk |
| Luntry (Лантри) | Клаудран (АО «Клаудран», мажоритарно — Ростелеком-Солар, 65,8%) | 54 | Пионер рынка (основатель — Дмитрий Евдокимов, offensive security); в реестре с 2022 г., «Солар» вошёл в капитал в окт. 2024 г. (10%), в дек. 2025 г. увеличил долю до 65,8% (rt-solar.ru), сделав Luntry мажоритарной портфельной компанией; отдельной публичной выручки продукта нет | реестр РПО | проверить в реестре5 | Sysdig / Aqua Security |
| Positive Technologies Container Security (PT CS) | Positive Technologies (АО «Позитив Текнолоджиз») | 52 | Группа Positive Technologies (МосБиржа): выручка МСФО ₽30,9 млрд FY2025 (+26%) — показатель всего продуктового портфеля (MaxPatrol/PT NGFW/Sandbox и др.), не отдельно Container Security; сам продукт вышел на рынок в нояб. 2023 г. и остаётся молодым внутри крупной публичной группы | реестр РПО | проверить в реестре3 | Palo Alto Prisma Cloud (Twistlock) |
Видите ошибку в строке своего продукта?
Напишите на info@secradar.ru — проверим и исправим, указав дату правки. Так уже поправлены оценки нескольких вендоров.
Оценку меняем только по проверяемому источнику: ссылка на документацию, руководство администратора или отраслевое сравнение. «У нас это есть» без источника не подойдёт — по такому утверждению читатель не сможет проверить нас так же, как проверяет вендора. Место в рейтинге не продаётся, размещение значка на оценку не влияет: как мы проверяем факты.
Без оценки: балл не считается
2 продуктаС 21.09.2026 балл в классе считается только по строкам, оценка которых стоит на документации вендора. Продукты ниже остаются в каталоге, но без балла: сопоставимого источника по ним нет. Как только документация появляется или её присылает вендор, строка возвращается в расчёт.
Это ваш продукт? Его можно вернуть в расчётПришлите руководство администратора или доступ к порталу документации — обычно возвращаем строку в тот же день. Подойдёт и непубличный документ: мы его не выкладываем, в источнике пишем «руководство версии N, предоставлено вендором». Место в рейтинге не продаётся, и сама пометка о присланных документах на оценку не влияет — влияет только то, что в документе написано. Написать на info@secradar.ru
- CrossTech Container Security — ГардаТех Солюшнс Групп (экс-«Кросстех Солюшнс Групп», ИКС Холдинг): открытой документации нет: продукт переименован в «Гарда Container Security», на его странице у ГардаТех (ct-sg.ru) только описание примерно на полторы тысячи слов, руководств нет это наш продукт →
- НОТА КУПОЛ.Контейнеры — НОТА (ООО «НОТА Сервис», Т1 Холдинг): открытой документации нет: на сайте НОТА страницы продукта с руководствами не обнаружено, в открытом доступе только карточки в каталогах партнёров это наш продукт →
Почему это важно не только для рейтинга: документация, закрытая от машин, невидима и для ИИ-ассистентов, у которых покупатели всё чаще спрашивают про класс. Как это выглядит со стороны ассистента — в исследовании «ИИ — третий читатель вашего сайта».
Функциональность: что подтверждено документацией
Критерии в этом классе ВЗВЕШЕНЫ: критичный весит 3, важный 2, дополнительный 1, и у каждого написано, почему ему дан такой вес. Так поддержка условия внедрения не приравнивается к редкой дополнительной функции. Вес назначает редакция — это наше решение, а не заявление вендора. Ось «возможности» в рейтинге этого класса считается ПРЯМО ИЗ ЭТОЙ ТАБЛИЦЫ: доля подтверждённых признаков и есть балл, редакционной оценки здесь нет. Оценка ставится только при наличии источника: ✓ — функция описана в документации вендора, ½ — описана частично или с оговоркой, «—» — искали и не нашли, «·» — не проверяли. «Не проверяли» означает, что мы не нашли публичного описания, а не что функции нет: глубина доступных источников у вендоров разная, и это само по себе результат измерения.
Откуда данные. Сравнительной анкеты по защите контейнеров в отрасли нет. Три решения проверены по независимым обзорам Anti-Malware, два — только по сайтам вендоров.
Нажмите на подчёркнутую оценку в матрице, чтобы открыть её обоснование. «Уточнить эту оценку» подготовит письмо редакции — отправить его нужно в почтовой программе.
| Решение | Поиск уязвимостей в образах | Контроль конфигураций | Защита в среде выполнения | Сетевые политики и сегментация | Поиск секретов | Контроль допуска образов в кластер | Контроль прав в кластере | Встраивание в конвейер сборки | Регуляторный статус | Интеграции | Подтверждено |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Platform V DropApp документация | ½ | ✓ | ✓ | ✓ | — | ✓ | ½ | ✓ | ✓ | ✓ | 8 из 10 |
| NOVA Container Platform Special Edition документация | ✓ | ✓ | ✓ | ½ | ½ | ½ | ✓ | — | ✓ | ½ | 7 из 10 |
| Deckhouse Kubernetes Platform Certified Security Edition документация | ✓ | ✓ | ½ | ✓ | — | ✓ | ✓ | ½ | ✓ | ✓ | 8 из 10 |
| Kaspersky Container Security документация | ✓ | ✓ | ✓ | ½ | ✓ | ✓ | — | ✓ | ½ | ✓ | 8 из 10 |
| Luntry (Лантри) документация | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ✓ | ½ | ✓ | 9.5 из 10 |
| Positive Technologies Container Security (PT CS) документация | ✓ | ✓ | ✓ | ½ | — | ✓ | — | ✓ | ½ | ✓ | 7 из 10 |
| CrossTech Container Security отраслевой обзор | ✓ | ✓ | ✓ | ½ | ✓ | ½ | — | — | ½ | ✓ | 6.5 из 10 |
| НОТА КУПОЛ.Контейнеры реестр | · | · | · | · | · | · | · | · | ½ | · | 0.5 из 1 · 9 не проверяли |
Что показала таблица. Контроль прав в кластере — общий провал класса: анализ ролевой модели Kubernetes не описан ни у кого из пяти проверенных. У CTCS это прямо названо недостатком, у Luntry RBAC упомянут только в маркетинговой статистике, у остальных речь идёт о ролях в консоли самого продукта. При этом сами вендоры называют неверные права в кластере одной из главных причин компрометации.
✓ подтверждено½ частично— не найдено— вендор заявляет осознанный отказ· не проверяли
На чём стоит строка:документацияподтв. вендоромреестротраслевой обзорстраница продуктане оценивалось
Балл считается одинаково независимо от источника — но источники разной силы, и мы показываем какой. Руководство администратора проверяемо по разделу, отраслевой обзор пересказывает вендора, рекламная страница не обязана быть полной. «Не оценивалось» означает, что признаки у строки не проставлены ни по одному источнику: продукт в каталоге есть, а разбора ещё нет. Это наш пробел, и он виден намеренно.
- Поиск уязвимостей в образахкритичный — Сканирование образов в реестрах или на сборке с опорой на называемые базы уязвимостей
Почему такой вес: уязвимости в образах — базовый предмет контроля контейнерной безопасности - Контроль конфигурацийважный — Проверка манифестов, узлов кластера или Dockerfile на соответствие названным стандартам и практикам
Почему такой вес: контроль конфигураций кластера важен, но частично закрывается штатными средствами оркестратора - Защита в среде выполнениякритичный — Обнаружение угроз в работающих контейнерах — по правилам, аномалиям или модели поведения
Почему такой вес: защита в среде выполнения отличает средство безопасности от сканера образов - Сетевые политики и сегментацияважный — Управление сетевыми политиками кластера или контроль трафика между рабочими нагрузками
Почему такой вес: сетевые политики реализуются и средствами Kubernetes, продукт их дополняет - Поиск секретовважный — Обнаружение учётных данных и ключей в образах или интеграция с хранилищем секретов
Почему такой вес: секреты в образах — частая и опасная ошибка, но поиск бывает встроен в конвейер - Контроль допуска образов в кластеркритичный — Проверка подписи образа или блокировка развёртывания по политике — admission control
Почему такой вес: без контроля допуска образов проверки носят рекомендательный характер и ничего не останавливают - Контроль прав в кластереважный — Анализ ролевой модели Kubernetes и прав служебных учётных записей — именно кластера, а не консоли продукта
Почему такой вес: контроль прав в кластере снижает риск эскалации, но опирается на штатный RBAC - Встраивание в конвейер сборкиважный — Проверка и блокировка на этапе CI/CD с названными системами сборки
Почему такой вес: встраивание в сборку переносит проверки влево; без него они остаются ручными - Регуляторный статусдополнительный — Полный балл — сертификат ФСТЭК или подтверждённая применимость в ГИС и КИИ; частично — только запись в реестре российского ПО
Почему такой вес: регуляторный статус — условие закупки, а не функциональность - Интеграциидополнительный — Передача событий в SIEM, открытый API, связка с реестрами образов и смежными системами
Почему такой вес: интеграции расширяют применение, но не входят в ядро класса
Проверьте нас. Под каждой оценкой ✓ и ½ ниже указан источник — конкретная страница документации вендора или отраслевого сравнения, по которой мы её поставили. Оценка без источника в таблицу не попадает: это проверяется автоматически при сборке сайта. Место в рейтинге не продаётся, и размещение значка вендором на оценку не влияет.
Источники под каждой оценкой (63)
| Решение | Признак | Чем подтверждено |
|---|---|---|
| Platform V DropApp | Поиск уязвимостей в образах | Trivy назван в составе сертифицированной сборки: «dapp-fstec-trivy-operator 0.26.1 — Сканирование уязвимостей под требования ФСТЭК», в обычной сборке Trivy и Harbor с харбор-сканером. Отдельной страницы с описанием работы сканера в документации нет, поэтому половина[1]Уточнить эту оценку ↗ |
| Platform V DropApp | Контроль конфигураций | Gatekeeper (отдельная страница, 28 тыс. знаков): «инструмент для управления политиками в Kubernetes на движке Open Policy Agent, позволяет централизованно применять политики безопасности и конфигурации». Плюс Kyverno — страница на 88 тыс. знаков[1]Уточнить эту оценку ↗ |
| Platform V DropApp | Защита в среде выполнения | Tetragon, отдельная страница на 24 тыс. знаков: «инструмент безопасности, аудита и мониторинга уровня процессов в Kubernetes, использует eBPF для отслеживания системных вызовов, выполнения команд и сетевой активности»[1]Уточнить эту оценку ↗ |
| Platform V DropApp | Сетевые политики и сегментация | Cilium как CNI, шесть отдельных страниц документации, включая ClusterMesh и Hubble[1]Уточнить эту оценку ↗ |
| Platform V DropApp | Контроль допуска образов в кластер | Connaisseur — «Политики проверки образов (подписи/репозитории) для ФСТЭК», Cosign — «Подпись и верификация образов контейнеров»; оба в составе сертифицированной сборки. Плюс Gatekeeper и Kyverno как admission-контроллеры[1]Уточнить эту оценку ↗ |
| Platform V DropApp | Контроль прав в кластере | ВНИМАНИЕ НА ПРОВЕРКУ: RBAC встречается 575 раз, но это либо параметры Helm-чартов, либо нативный механизм самого Kubernetes. Единственная отдельная страница — kube-rbac-proxy, и она про другое: «HTTP-прокси, который выполняет авторизацию RBAC для DropApp API». То есть права к API самого продукта, а не управление правами в кластере как функция средства защиты. Половина[1]Уточнить эту оценку ↗ |
| Platform V DropApp | Встраивание в конвейер сборки | ArgoCD — шесть страниц: «декларативный инструмент непрерывного развёртывания для Kubernetes на подходе GitOps»[1]Уточнить эту оценку ↗ |
| Platform V DropApp | Регуляторный статус | действует сертификат ФСТЭК №4883 на «систему управления контейнерами Platform V DropApp», заявитель АО «Сбербанк-Технологии», внесён 04.12.2024, переоформлен 21.11.2025, до 04.12.2029, средство контейнеризации 4 класса защиты. В каталоге версий есть отдельные сборки с суффиксом -fstec. Срез Госреестра от 25.09.2026Уточнить эту оценку ↗ |
| Platform V DropApp | Интеграции | в составе документированы Prometheus, Grafana, Loki, Vector, VictoriaMetrics, OpenTelemetry, Harbor, Argo; интеграция упоминается 204 раза[1]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Поиск уязвимостей в образах | в состав платформы входит NeuVector: «с помощью NeuVector пользователь может выполнять сканирование образов контейнеров в различных хранилищах»; отдельный раздел руководства — «Настройка выявления уязвимостей»[2]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Контроль конфигураций | разделы руководства администратора «Настройка контроля целостности», «Безопасность среды функционирования» и «Безопасность установки»; NeuVector «проводит аудит безопасности узлов и контейнеров»[2]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Защита в среде выполнения | NeuVector «осуществляет постоянный мониторинг платформы, процессов, файловых систем, поведенческий анализ работы контейнеров»; отдельная инструкция по совместной работе с антивирусом Kaspersky KESL[2]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Сетевые политики и сегментация | частично: сетевая подсистема строится на Calico CNI, но управления сетевыми политиками как функции защиты руководство не описывает[2]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Поиск секретов | частично: есть раздел «Управление секретами платформы» и Secrets Webhook для Kubernetes, но поиска секретов в образах руководство не описывает[2]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Контроль допуска образов в кластер | частично: описаны admission plugins — «специальные контроллеры Kubernetes… применяются для контроля настроек безопасности, конфигурации развёртывания»; проверки подписи образа и блокировки по ней в руководстве нет[2]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Контроль прав в кластере | раздел «Использование RBAC для разграничения доступа в Kubernetes» и «Реализация модели доступа на основе ролей в Nova на основе групп LDAP», с таблицей соответствия ролей — включая служебные учётные записи конвейера разработки[2]Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Регуляторный статус | сертификат ФСТЭК № 4943 («NOVA Container Platform Special Edition», до 17.06.2030); срезы Реестра российского ПО и Госреестра СЗИ ФСТЭК от 15.09.2026Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Интеграции | частично: есть раздел «Настройка регистрации событий безопасности и управления доступом» и организация PKI, но передачи событий в SIEM и открытого API руководство не называет[2]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Поиск уязвимостей в образах | модуль operator-trivy включается конфигурацией платформы и настраивается по уровням опасности (UNKNOWN, LOW, MEDIUM, HIGH, CRITICAL); отдельный параметр `linkCVEtoBDU: true` связывает CVE с банком данных угроз ФСТЭК[3]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Контроль конфигураций | модуль admission-policy-engine с `podSecurityStandards` и политикой по умолчанию Baseline; отдельный модуль gost-integrity-controller для контроля целостности[3]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Защита в среде выполнения | частично: есть контроль целостности и аудит (`auditPolicyEnabled`), но обнаружения угроз в работающих контейнерах по поведению документация не описывает[3]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Сетевые политики и сегментация | сетевая подсистема на Cilium (модуль cni-cilium, обновление 1.14 → 1.17 в составе платформы) — политики уровня кластера задаются её средствами[3]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Контроль допуска образов в кластер | admission-policy-engine с `enforcementAction: Deny` и `denyVulnerableImages.enabled: true` — уязвимые образы блокируются на допуске; отдельно включается проверка подписи в режимах Migrate и Enforce[3]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Контроль прав в кластере | «провайдер аутентификации необходимо настроить с учётом ролевой модели доступа, используемой в DKP CSE»: пользователям в каталоге присваиваются группы в соответствии с уровнем прав[3]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Встраивание в конвейер сборки | частично: есть команда `d8 dk ci-env` с поддерживаемыми CI/CD-системами и тегирование образов, но блокировка сборки при несоответствии политикам описана на уровне кластера, а не конвейера[3]Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Регуляторный статус | «сертифицированная по требованиям ФСТЭК России и регулярно ресертифицируемая платформа, готовая к эксплуатации в КИИ 1-й категории, с ПДн 1-го уровня и в ГИС 1-го класса»; страница продукта вендора, deckhouse.ru/products/kubernetes-platform/security/Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Интеграции | включаемый аудит (`auditPolicyEnabled`), шифрование (`encryptionEnabled`), собственный внутренний удостоверяющий центр для сертификатов сервисов[3]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Поиск уязвимостей в образах | «Сканируйте объекты и получайте информацию об обнаруженных уязвимостях, вредоносном ПО, ошибках конфигурации и конфиденциальных данных»; поддержана интеграция с внешними реестрами образов, включая Amazon Elastic Container Registry и Red Hat Quay, и сканирование директории OCI[4]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Контроль конфигураций | «Сканирование инфраструктуры на соответствие отраслевому стандарту безопасности… Проверка кластеров осуществляется с помощью правил, описанных в стандартах MITRE и NSA / CISA, а также в отраслевом стандарте Kubernetes»[4]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Защита в среде выполнения | отдельный вид политик — «политики среды выполнения»; события контейнеров собираются «в отношении сетевого трафика (входящего и исходящего), файловых операций, запускаемых процессов»; есть задачи автопрофилирования[4]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Сетевые политики и сегментация | частично: сетевые политики упоминаются как настройка установки самого решения («по умолчанию сетевые политики включены», указывается пространство имён ингресс-контроллера), а управления политиками кластера как функции защиты документация не описывает[4]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Поиск секретов | обнаружение «конфиденциальных данных» названо наравне с уязвимостями, вредоносным ПО и ошибками конфигурации; по ним же работает процедура принятия риска[4]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Контроль допуска образов в кластер | есть контроллер доступа как отдельная категория событий и «интеграция с модулями проверки подписей образов»; политики безопасности образов меняют их статус и блокируют несоответствующие[4]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Встраивание в конвейер сборки | «На этапе сборки проекта в системе CI запустите сканер Kaspersky Security для контейнеров для проверки содержащихся в репозитории объектов на соответствие требованиям включённых политик безопасности»; CI — отдельная категория событий[4]Уточнить эту оценку ↗ |
| Kaspersky Container Security | Регуляторный статус | «внесён в реестр отечественного ПО»; при этом «вендор планирует начать сертификацию во ФСТЭК в 2025 году», то есть сертификата на момент обзора нет; обзор Anti-Malware «Kaspersky Container Security 2.0» (сертификат AM Test Lab № 516 от 20.05.2025), anti-malware.ru/reviews/Kaspersky-Container-Security-2-0Уточнить эту оценку ↗ |
| Kaspersky Container Security | Интеграции | «Интеграция с программными продуктами, предназначенными для получения и анализа информации о событиях безопасности (SIEM)» с настройкой нескольких продуктов и категорий событий; отчёты в форматах JSON и XML; отдельная категория событий API[4]Уточнить эту оценку ↗ |
| Luntry (Лантри) | Поиск уязвимостей в образах | два отдельных компонента — image scanner «отвечает за сканирование образов, обнаруженных в кластере, по заданному расписанию» и registry scanner «за сканирование образов в удалённых реестрах»; формируются отчёты Vulnerability, Misconfig, Secrets и Malware[5]Уточнить эту оценку ↗ |
| Luntry (Лантри) | Контроль конфигураций | отчёт Misconfig по образам; компонент luntry-compliance-operator для проверки соответствия; редактирование политик OPA Gatekeeper и Kyverno прямо из интерфейса[5]Уточнить эту оценку ↗ |
| Luntry (Лантри) | Защита в среде выполнения | Runtime policy с обучением поведения («policy.autoTraining», «policy.onlyFullLifecycle») и обнаружением аномалий; Reaction Policies — «механизм применения реакций к контейнерам при нарушении ими заданных условий», три действия: Dump FS, Dump RAM и Stop container; документация вендора docs.luntry.ru (актуальная версия 4.5.0), раздел «Cluster Mode» и руководство администратора вендора — доступ к порталу предоставлен вендором 22.09.2026, страница закрыта учётными даннымиУточнить эту оценку ↗ |
| Luntry (Лантри) | Сетевые политики и сегментация | в интерфейсе можно «добавлять, удалять и изменять» ресурсы NetworkPolicy (Native, Calico, Cilium); отдельное окно Policy Engine работает с Kyverno и OPA Gatekeeper: дашборд, список политик, нарушения с фильтрами по Policy Engine, Namespaces, Kind, Severity и библиотека политик на базе kyverno.io/policies; есть раздел «Топология сетевого взаимодействия»; документация вендора docs.luntry.ru (актуальная версия 4.5.0), раздел «Cluster Mode», подраздел Policy Engines (/latest/User/4_cluster_mode/#policy-engines) — доступ к порталу предоставлен вендором 22.09.2026, страница закрыта учётными даннымиУточнить эту оценку ↗ |
| Luntry (Лантри) | Поиск секретов | в перечне формируемых по образам отчётов отдельно назван Secrets — наряду с Vulnerability, Misconfig и Malware[5]Уточнить эту оценку ↗ |
| Luntry (Лантри) | Контроль допуска образов в кластер | инструмент Security Gates «предназначен для описания требований к образам»: в правиле задаются характеристики по отчётам SBOM, Vulnerability, Misconfig, Secret, Malware, поле Scopes выбирает среду применения (CI/CD, Registry, Cluster), поле Block action определяет, блокировать ли; нарушение любого условия даёт статус Fail; отдельно описано «Взаимодействие с Admission Controllers» с контролем Mutating и Validating Admission Controllers; документация вендора docs.luntry.ru (актуальная версия 4.5.0), раздел «Security Gates» (/latest/User/4_security_gates/) — доступ к порталу предоставлен вендором 22.09.2026, страница закрыта учётными даннымиУточнить эту оценку ↗ |
| Luntry (Лантри) | Контроль прав в кластере | окно RBAC: «в данном окне происходит работа с субъектами (Service Accounts, Users, Groups), правами и ролями Kubernetes RBAC»; фильтр из четырёх режимов — Checks, Subject, Permission, Role; на вкладке Checks — набор правил поиска опасных прав со степенью критичности, например «Allow approve CertificateSignRequests» и отдельная проверка Cluster-Admin; исключения задаются через Create exclusion; документация вендора docs.luntry.ru (актуальная версия 4.5.0), раздел «Cluster Mode», подраздел RBAC (/latest/User/4_cluster_mode/#rbac) — доступ к порталу предоставлен вендором 22.09.2026, страница закрыта учётными даннымиУточнить эту оценку ↗ |
| Luntry (Лантри) | Встраивание в конвейер сборки | в Security Gate поле Scopes прямо включает CI/CD наряду с Registry и Cluster, а Block action останавливает сборку при нарушении требований; раздел «Сканирование образов в CI/CD пайплайне»: «отчёты будут появляться в интерфейсе Luntry ещё до того, как просканированный образ будет использован»; документация вендора docs.luntry.ru (актуальная версия 4.5.0), раздел «Security Gates» и руководство администратора вендора — доступ к порталу предоставлен вендором 22.09.2026, страница закрыта учётными даннымиУточнить эту оценку ↗ |
| Luntry (Лантри) | Регуляторный статус | запись в Реестре российского ПО № 15188; сертификата ФСТЭК в Госреестре СЗИ нет; срезы Реестра российского ПО и Госреестра СЗИ ФСТЭК от 15.09.2026Уточнить эту оценку ↗ |
| Luntry (Лантри) | Интеграции | уязвимости и SBOM привязываются к контейнерам и образам в топологии; база уязвимостей загружается компонентом vulnerability-operator, поддержан и локальный вариант базы для закрытого контура[5]Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Поиск уязвимостей в образах | «Подключение реестров и регулярная проверка образов контейнеров для выявления устаревших или содержащих уязвимости образов»; отдельная страница интерфейса «Образы» для управления реестрами[6]Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Контроль конфигураций | страница «Соответствие стандартам» — «запуск и просмотр результатов проверки всех конфигураций кластера на соответствие стандартам информационной безопасности»; отдельно «автоматизация аудита конфигурации среды выполнения контейнеров согласно требованиям стандартов»[6]Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Защита в среде выполнения | «Мониторинг и реагирование на инциденты информационной безопасности в среде выполнения контейнеров»; разобран сценарий повышения привилегий контейнеров в runtime[6]Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Сетевые политики и сегментация | частично: есть «карта кластера» с информацией о подах и их уязвимостях, но управления сетевыми политиками кластера справка не описывает[6]Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Контроль допуска образов в кластер | «Подпись образа гарантирует достоверность и целостность артефакта. PT CS позволяет автоматизировать проверку подписи образов. Проверка выполняется с помощью контроллера допуска. Если подпись отсутствует или недействительна, система может заблокировать образ»[6]Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Встраивание в конвейер сборки | «Интеграция в CI/CD для блокировки конфигураций контейнеров и образов, нарушающих требования стандартов, политик и лучших практик»; есть утилита командной строки ptcs-cli и отдельная роль CI/CD для учётной записи конвейера[6]Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Регуляторный статус | запись в Реестре российского ПО № 17884; сертификата ФСТЭК в Госреестре СЗИ нет; срезы Реестра российского ПО и Госреестра СЗИ ФСТЭК от 15.09.2026Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Интеграции | «интеграция PT CS с решениями SIEM и log management по протоколу syslog»; генерация отчётов в машиночитаемых форматах для систем учёта дефектов, уведомления через webhook, интеграция с PT Sandbox и PT MultiScanner для проверки образов на вредоносное ПО[6]Уточнить эту оценку ↗ |
| CrossTech Container Security | Поиск уязвимостей в образах | «интегрируется с реестрами хранения образов и позволяет проводить их сканирование как в ручном режиме, так и по расписанию»; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| CrossTech Container Security | Контроль конфигураций | «система обнаруживает дефекты в образах: уязвимости, неправильные конфигурации, секреты, а также фиксирует используемые в образах OSS-лицензии»; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| CrossTech Container Security | Защита в среде выполнения | раздел «Безопасность в средах выполнения (Runtime Security)»; реагирование в режимах «блокирование или оповещение о нарушении политики безопасности»; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| CrossTech Container Security | Сетевые политики и сегментация | заявлен «контроль сетевой активности… в режиме реального времени»; управление сетевыми политиками кластера не описано; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| CrossTech Container Security | Поиск секретов | система обнаруживает в образах «секреты» наряду с уязвимостями и неверными конфигурациями; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| CrossTech Container Security | Контроль допуска образов в кластер | администратор может «заблокировать образ, исключить его из деплоя»; контроль запуска контейнеров «ещё на этапе их инициализации»; проверка подписи образов не описана; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| CrossTech Container Security | Регуляторный статус | запись в Реестре российского ПО № 25043; сертификата ФСТЭК в Госреестре СЗИ нет; срезы Реестра российского ПО и Госреестра СЗИ ФСТЭК от 15.09.2026Уточнить эту оценку ↗ |
| CrossTech Container Security | Интеграции | «передача журналов событий в системы сбора по протоколу Syslog»; интеграция с реестрами хранения образов и с Keycloak (OAuth, службы каталогов); обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| НОТА КУПОЛ.Контейнеры | Регуляторный статус | запись в Реестре российского ПО № 24677; сертификата ФСТЭК в Госреестре СЗИ нет; срезы Реестра российского ПО и Госреестра СЗИ ФСТЭК от 15.09.2026Уточнить эту оценку ↗ |
Источники, на которые ссылаются номера в таблице
- [1] документация вендора: открытый раздел platformv.sbertech.ru/docs/public/K8S/5.1.1/ (233 страницы, 3 млн знаков), обход 26.09.2026
- [2] документация вендора wiki.orionsoft.ru/nova-se/latest (обход 22.09.2026, 103 страницы)
- [3] документация вендора deckhouse.ru/products/kubernetes-platform/documentation/v1.73-cse/ — «DKP CSE. Руководство администратора» (обход 22.09.2026)
- [4] документация вендора support.kaspersky.ru/container-security/2.0 (обход 22.09.2026, 241 страница)
- [5] документация вендора Luntry: «Руководство администратора» (196 с.), «Руководство пользователя» (112 с.) и описание функциональных характеристик (16 с.), luntry.ru
- [6] документация вендора, справочный портал help.ptsecurity.com — «PT CS 1.2. Справка» (обход 21.09.2026, 120 страниц)
Где мы искали и не нашли (8)
Знак «—» в таблице означает, что функцию искали и не нашли. Ниже сказано, где именно искали: в каком документе, какой версии и по каким словам. Если функция есть, а мы её пропустили — напишите, поправим по первоисточнику.
| Решение | Признак | Где искали |
|---|---|---|
| Platform V DropApp | Поиск секретов | поиска секретов в образах нет. В составе есть External Secrets и OpenBao, но это ХРАНЕНИЕ и доставка секретов, а не их поиск в образах. Запрос «поиск секретов», «секреты в образе», scan secret — ноль вхождений на 3 млн знаков. документация вендора: открытый раздел platformv.sbertech.ru/docs/public/K8S/5.1.1/ (233 страницы, 3 млн знаков), обход 26.09.2026Уточнить эту оценку ↗ |
| NOVA Container Platform Special Edition | Встраивание в конвейер сборки | встраивания проверок в конвейер сборки руководство не описывает: конвейер упоминается только как обладатель служебной учётной записи в ролевой модели — документация вендора wiki.orionsoft.ru/nova-se/latest (обход 22.09.2026, 103 страницы)Уточнить эту оценку ↗ |
| Deckhouse Kubernetes Platform Certified Security Edition | Поиск секретов | поиска секретов в образах документация не описывает; искали — не нашли — документация вендора deckhouse.ru/products/kubernetes-platform/documentation/v1.73-cse/ — «DKP CSE. Руководство администратора» (обход 22.09.2026)Уточнить эту оценку ↗ |
| Kaspersky Container Security | Контроль прав в кластере | анализа ролевой модели Kubernetes и прав служебных учётных записей документация не описывает; искали — не нашли — документация вендора support.kaspersky.ru/container-security/2.0 (обход 22.09.2026, 241 страница)Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Поиск секретов | поиска секретов в образах справка не описывает: слово «секрет» встречается только как способ хранить логин и пароль для подключения к реестру образов — документация вендора, справочный портал help.ptsecurity.com — «PT CS 1.2. Справка» (обход 21.09.2026, 120 страниц)Уточнить эту оценку ↗ |
| Positive Technologies Container Security (PT CS) | Контроль прав в кластере | анализа ролевой модели Kubernetes и прав служебных учётных записей справка не описывает; ролевая модель описана только для пользователей самого PT CS — документация вендора, справочный портал help.ptsecurity.com — «PT CS 1.2. Справка» (обход 21.09.2026, 120 страниц)Уточнить эту оценку ↗ |
| CrossTech Container Security | Контроль прав в кластере | обзор прямо называет недостатком «отсутствие данных по ресурсам Kubernetes (Workloads, RBAC, Custom Resources)»; интеграция с Keycloak закрывает доступ к консоли самого продукта, а не права в кластере; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
| CrossTech Container Security | Встраивание в конвейер сборки | обзор прямо называет недостатком «отсутствие возможности встраивания в процесс сборки (CI/CD) (планируется к реализации в первом квартале 2026 года)»; обзор Anti-Malware «Crosstech Container Security (CTCS) 3.0», anti-malware.ru/reviews/CrossTech-Container-Security-3-0Уточнить эту оценку ↗ |
Примечания к строкам (7)
- NOVA Container Platform Special Edition — Проверено 22.09.2026 по документации вендора. Существенно: Nova SE — платформа контейнеризации, функции защиты контейнеров в ней даёт встроенный NeuVector, а антивирусная проверка — отдельный продукт Kaspersky KESL, для которого есть инструкция по совместной работе.
- Deckhouse Kubernetes Platform Certified Security Edition — Переоценено 22.09.2026 по документации вендора (DKP CSE 1.73). Существенно: это платформа контейнеризации с встроенными средствами защиты, сертифицированная ФСТЭК, а не отдельное средство защиты контейнеров — часть критериев класса к ней применима лишь частично.
- Kaspersky Container Security — Переоценено 22.09.2026 по документации вендора (в документации продукт называется «Kaspersky Security для контейнеров»).
- Luntry (Лантри) — Переоценено 21.09.2026 по документации вендора, 22.09.2026 источники заменены на действующий портал docs.luntry.ru версии 4.5.0: доступ к нему выдал вендор (Анастасия Пракина, Luntry) после нашего письма. Портал закрыт учётными данными, поэтому по ссылке читатель увидит запрос пароля — это указано в источнике каждой клетки. Важная правка по существу: признак «контроль прав в кластере» раньше обосновывался разграничением прав собственных компонентов Luntry на уровне ServiceAccount — это не то, что требует критерий; теперь стоит окно RBAC с проверками опасных прав в Kubernetes. Вендор сообщил, что получение сертификата ФСТЭК ожидает в октябре 2026 года; до появления записи в Госреестре СЗИ признак «регуляторный статус» остаётся половиной — за запись в Реестре российского ПО.
- Positive Technologies Container Security (PT CS) — Переоценено 21.09.2026 по документации вендора. Прежняя оценка стояла на обзоре рынка.
- CrossTech Container Security — Без оценки с 22.09.2026: открытой документации нет: продукт переименован в «Гарда Container Security», на его странице у ГардаТех (ct-sg.ru) только описание примерно на полторы тысячи слов, руководств нет.
- НОТА КУПОЛ.Контейнеры — Без оценки с 22.09.2026: открытой документации нет: на сайте НОТА страницы продукта с руководствами не обнаружено, в открытом доступе только карточки в каталогах партнёров.
Как считаются эти таблицы и сколько функциональности российских СЗИ вообще описано публично — в исследовании «57% функциональности не описано публично».
Пометки к статусам ФСТЭК
- Deckhouse Kubernetes Platform Certified Security Edition — Сертификат ФСТЭК №4860 от 04.10.2024, действ. до 04.10.2029 (программное обеспечение «Deckhouse Platform Certified Security Edition», заявитель АО «Флант») — факт по данным reestr.fstec.ru/reg3 (срез Госреестра СЗИ ФСТЭК). Важная пометка: сертификат выдан по профилю доверия «Требования к средствам контейнеризации» (4 уровень) — это требования к САМОЙ платформе контейнеризации (как у Astra Linux/РЕД ОС для ОС), а не отдельный класс «средство защиты контейнерной ИБ»; такого выделенного класса в классификаторе ФСТЭК формально не существует. Второй продукт вендора — Deckhouse Stronghold (сертификат №5038 от 10.02.2026) — это менеджер секретов (форк HashiCorp Vault), НЕ защита контейнеров, поэтому не включён в подборку как отдельный alt.
- NOVA Container Platform Special Edition — Сертификат ФСТЭК №4943 от 17.06.2025, действ. до 17.06.2030 (программное обеспечение «NOVA Container Platform Special Edition», заявитель ООО «Орион») — факт по данным reestr.fstec.ru/reg3 (срез Госреестра СЗИ ФСТЭК). Как и у Deckhouse, это сертификат по профилю доверия «Требования к средствам контейнеризации», а не отдельный класс защиты контейнерной ИБ.
- Positive Technologies Container Security (PT CS) — Действующего сертификата ФСТЭК на PT Container Security (рег. №17884 от 06.06.2023) в Госреестре СЗИ (срез Госреестра СЗИ ФСТЭК, снимок 03.07.2026) не найдено. У вендора «Позитив Текнолоджиз» есть 7 других действующих сертификатов ФСТЭК (MaxPatrol, PT Application Firewall, PT Application Inspector, PT NAD, PT MultiScanner, PT NGFW №4877, MaxPatrol №4980) — ни один не относится к Container Security.
- Kaspersky Container Security — Действующего сертификата ФСТЭК на Kaspersky Container Security / у заявителя ООО «КСИМИ ПРО» в Госреестре СЗИ (срез Госреестра СЗИ ФСТЭК, снимок 03.07.2026) не найдено (заявлено СМИ: заявка на сертификацию направлена в нояб. 2025 г.). У материнской «Лаборатории Касперского» — 29 действующих сертификатов ФСТЭК на другие продукты (Kaspersky Endpoint Security, KATA, KUMA и др.), но ни один не выдан на ООО «КСИМИ ПРО» / Container Security.
- Luntry (Лантри) — Действующего сертификата ФСТЭК на Luntry в Госреестре СЗИ (срез Госреестра СЗИ ФСТЭК, снимок 03.07.2026) не найдено. По заявлению вендора (страница «Итоги 2025 года») сертификация была в процессе, с ожидаемым получением в Q1–Q2 2026 — на дату проверки (10.07.2026) этот срок уже прошёл, а сертификат в первоисточнике так и не появился, что стоит явно перепроверять перед закупкой под КИИ.
факт проверяемый факт с источником реестр запись в госреестре, ссылка на карточку/поиск оценка редакционная оценка SecRadar
Номера сертификатов ФСТЭК меняются при перерегистрации — проверяйте актуальный статус в источнике: Госреестр СЗИ ФСТЭК. Пользовательские отзывы в скоре не используются.
Частые вопросы
Что такое Container Security и чем это отличается от антивируса или WAF?
Container Security — класс СЗИ, закрывающий весь жизненный цикл контейнеризированных приложений (Docker/Kubernetes): сканирование образов на уязвимости и секреты ДО запуска (image scanning), контроль допуска подов к запуску по политикам (admission control), защиту уже работающих контейнеров от аномального поведения и атак (runtime-защита, обычно на eBPF) и проверку инфраструктурного кода — манифестов Kubernetes/Dockerfile/Helm — на соответствие CIS Benchmarks (IaC-сканирование). Антивирус ищет вредоносные сигнатуры на уровне файлов/процессов и почти не понимает специфику образов, слоёв и оркестрации Kubernetes. WAF фильтрует HTTP(S)-трафик к веб-приложению и ничего не знает о том, что происходит ВНУТРИ контейнера или кластера — какие права выданы поду, не запущен ли он от root, не пытается ли он выйти за границы своего namespace.
Зачем защита контейнеров, если в компании уже есть NGFW, антивирус и EDR?
NGFW фильтрует сетевой трафик по портам/протоколам/IP и не разбирает семантику Kubernetes API или содержимое образа. Классический антивирус/EDR ставится на хостовую ОС и в лучшем случае видит процессы внутри контейнеров лишь частично — он не умеет сканировать слои образа в реестре ДО запуска, не проверяет манифесты YAML на CIS-соответствие и не блокирует запуск пода через admission control. Контейнерная инфраструктура добавляет собственную поверхность атаки — уязвимые базовые образы, чрезмерные права (privileged-режим), небезопасные Kubernetes RBAC-политики, побег из контейнера (container escape) — и именно её закрывает отдельный класс Container Security, обычно как дополнение к периметровым и endpoint-СЗИ, а не их замена.
Чем image scanning отличается от runtime-защиты и admission control?
Image scanning — проверка образа контейнера в реестре (Docker Hub, Harbor, GitLab Registry) ДО его запуска: поиск известных уязвимостей (CVE) в пакетах и зависимостях, случайно попавших в образ секретов (пароли, токены, ключи API) и неправильных конфигураций; часто сопровождается формированием SBOM (перечня всех компонентов образа). Admission control — «фейсконтроль» на входе в кластер: специальный контроллер (например, на базе OPA Gatekeeper) проверяет каждый под перед запуском в Kubernetes и блокирует те, что нарушают политику — используют непроверенный образ, запрашивают privileged-режим, работают от root. Runtime-защита — мониторинг уже РАБОТАЮЩИХ контейнеров в реальном времени: обнаружение аномального сетевого поведения, попыток эскалации привилегий или выхода за пределы контейнера, обычно через eBPF-агенты (например, технология Tetragon). Зрелые продукты класса — например, CrossTech Container Security — закрывают все три этапа.
Как сертифицируются средства защиты контейнеров во ФСТЭК России?
Отдельного, специально выделенного класса «средство защиты контейнерной безопасности» в классификаторе ФСТЭК не существует — на дату проверки (10.07.2026) ни один из 5 найденных в реестре ПО pure-play оверлей-инструментов (Luntry, PT Container Security, CrossTech Container Security, Kaspersky Container Security, НОТА КУПОЛ.Контейнеры) не имеет действующего сертификата ФСТЭК. Зато сертификацию проходят сами K8s-ПЛАТФОРМЫ по смежному профилю доверия «Требования к средствам контейнеризации» (4-й уровень) — по этому пути сертифицированы, например, Deckhouse Kubernetes Platform Certified Security Edition (Флант, сертификат №4860) и NOVA Container Platform Special Edition (Orion soft, сертификат №4943), а также ряд защищённых ОС (Astra Linux, РЕД ОС, Альт 8 СП), для которых поддержка контейнеризации — лишь одна из проверяемых функций, а не основное назначение. Действующий статус сертификата любого конкретного продукта стоит проверять в государственном реестре сертифицированных СЗИ ФСТЭК.
Какие решения поддерживают Kubernetes и Docker и насколько велик рынок Container Security в России?
Практически все продукты подборки заявляют поддержку Kubernetes как основной платформы; Docker (standalone-хосты без оркестрации) поддерживают избирательно — например, CrossTech Container Security явно указывает поддержку standalone Docker-хостов, Kaspersky Container Security — Kubernetes, Docker и OpenShift. По данным профильного обзора Anti-Malware.ru (09.02.2026), российский рынок Container Security оценивается примерно в ₽4 млрд за 2024 г. с прогнозом роста до ₽8–9 млрд к 2029 г. (мировой рынок — 1,5 млрд долл. в 2024 г., прогноз 5,3 млрд долл. к 2033 г.); при этом статья характеризует рынок РФ как уже демонстрирующий «зрелость и технологическую самостоятельность» — хотя, как показывает сертификационная картина ФСТЭК выше, зрелость эта пока прежде всего технологическая и рыночная, а не регуляторная.