PT Container Security
PT Container Security — защита контейнерных сред Positive Technologies: проверяет образы и манифесты при сборке, не пускает в кластер Kubernetes изменения с нарушениями через контроллер допуска и отслеживает события в работающих контейнерах. Счёт юрлицу и документы для тендера. Лицензия срочная и считается по числу сканеров, реестров, узлов с агентами и кластеров. Работает с Kubernetes 1.20 и новее, в том числе на Deckhouse, Nova и «Боцман».
Анкета для расчёта и пилота
По ответам подготовим коммерческое предложение: соберём состав лицензий и согласуем цену с Positive Technologies. Можно отвечать приблизительно — главное отмечено звёздочкой, остальное уточним. В конце — e-mail и ИНН организации (производитель считает цену под заказчика), телефон по желанию.
Ответы сохраняются в этом браузере.
По ссылке анкета откроется с вашими ответами на любом устройстве — сохраните её себе или отправьте коллеге, который знает остальное.
Продукты для безопасности приложений
|
PT AF PRO
|
PT Application Inspector
|
PT BlackBox
|
PT Container Security
|
|
|---|---|---|---|---|
| Что делает | Защищает работающее приложение от атак | Анализирует код и зависимости | Сканирует работающее приложение снаружи | Защищает контейнерные среды |
| Когда применяется | В продуктиве | На этапе разработки | На этапе тестирования и в продуктиве | На всех этапах жизненного цикла |
| Нужен исходный код | ||||
| Блокирует атаку в реальном времени | ||||
| Находит уязвимости до релиза | ||||
| Поиск секретов в коде | Уточняется | |||
| Встраивается в конвейер сборки | ||||
| Реестр российского ПО | № 1141 | № 1253 | № 15711 | № 17884 |
О PT Container Security
PT Container Security защищает контейнерную инфраструктуру на всех этапах: от образа в реестре до контейнера, который уже работает в кластере. Система проверяет образы на уязвимости и вредоносное ПО, контролирует их подписи, анализирует Dockerfile и манифесты Kubernetes, а собственный контроллер допуска проверяет изменения до того, как они попадут в кластер.
Во время выполнения PT CS следит за событиями с помощью источников на eBPF и детекторов на WebAssembly и блокирует события по правилам реагирования. Утилита ptcs-cli встраивается в CI/CD и может остановить сборку. Один экземпляр защищает несколько кластеров: центральный кластер управляет дочерними.
База уязвимостей охватывает ALT Linux, Astra Linux, «РЕД ОС», Red Hat, Ubuntu, Oracle, NVD и БДУ ФСТЭК. В версии 1.2 появилась проверка кластера на соответствие стандарту CRIS — Kubernetes.
Что делает PT Container Security
Характеристики
| О продукте | |
| Класс решения | Защита контейнерных сред |
| Актуальная версия | 1.2 |
| Что защищает | Образы, контейнеры, оркестратор, реестры образов, ОС узлов |
| Этапы | Сборка, развёртывание, выполнение |
| Совместимость | |
| Kubernetes | 1.20 и выше |
| Платформы с сертификатами совместимости | Deckhouse Kubernetes Platform, Nova Container Platform, «Боцман» — все версии |
| ОС узлов | 64-разрядные Debian, Ubuntu, CentOS, Astra Linux; проверено на Debian 11 и 12, Ubuntu 20.04 и 22.04, Astra Linux 1.8, CentOS 10 Stream |
| Ядро Linux | Рекомендуется 5.4 и выше (для детектора Unix-сокета — 5.11 и выше); требуется поддержка Tetragon, включённые eBPF, BTF и cgroup |
| Реестры образов | С поддержкой Docker Registry API v2 |
| Внешние СУБД и очереди | PostgreSQL 14+ или Postgres Pro, ClickHouse 20+ или Arenadata QuickMarts, Redis 7.0.11+, RabbitMQ 4.0+ |
| Ресурсы | |
| Центральный кластер | 8 ядер, 16 ГБ ОЗУ, 70 ГБ; рекомендуется 10 ядер, 32 ГБ, 130–180 ГБ |
| Встроенные PostgreSQL, RabbitMQ и ClickHouse | Ещё 8 ядер и 16 ГБ ОЗУ |
| Сервер развёртывания | 4 ядра, 8 ГБ ОЗУ, 20 ГБ |
| Интеграции | |
| Продукты Positive Technologies | MaxPatrol SIEM, PT Sandbox, PT MultiScanner |
| Уведомления и события | syslog, webhook, Grafana и Loki |
| Реестр | |
| Реестр российского ПО | № 17884 от 06.06.2023 |
Что входит в поставку
Как лицензируется
| Что считает лицензия | Число сканеров образов, подключаемых реестров, узлов кластера с агентами мониторинга среды выполнения и подключённых кластеров. |
| Срок | Лицензия срочная. Когда срок истекает, становятся недоступны добавление реестров, сканирование образов и конфигураций, проверка через контроллер допуска, установка агентов и подключение дочерних кластеров. |
| Один экземпляр — одна лицензия | Лицензию активируют в центральном кластере, дочерние получают сведения о ней оттуда. Для второго экземпляра PT CS нужна отдельная лицензия. |
| Для расчёта | Сколько кластеров и узлов, какие реестры образов подключаются, на скольких узлах нужна защита рантайма. |
НДС и документы
| НДС не облагается | Передача прав на программы из реестра российского ПО освобождена от НДС по статье 149 Налогового кодекса. PT Container Security внесён в реестр под номером 17884. |
| Налог на прибыль: расходы × 2 | Расходы на лицензии программ из реестра российского ПО можно учесть в налоге на прибыль с коэффициентом 2 (подп. 26 п. 1 ст. 264 НК РФ). Условие — лицензия покупается для своей работы и договор не даёт права передавать её другим. Подробнее — в статье о коэффициенте 2. Как отразить это в учёте, подскажет ваш бухгалтер. |
| Документы | Счёт, договор и закрывающие документы оформляем на юридическое лицо. |
| Обоснование закупки | По запросу приложим выписку из реестра российского ПО № 17884. |
Для госзакупок
|
Код ОКПД2 Услуги по предоставлению лицензий на право использовать компьютерное программное обеспечение (типовой код для закупки лицензий)
|
58.29.50.000 |
|
Реестр российского ПО Positive Technologies Container Security (PT CS)
|
Запись № 17884 |
| Национальный режим | Российское ПО из реестра Минцифры — запрет на иностранное ПО (ПП № 1875) не применяется |
Другие версии
Другие продукты «Positive Technologies»
Статьи по теме
Разбор и практика
Частые вопросы
В своей части — да. По разбору вендора PT CS профильно закрывает защиту контейнерных сред и их оркестрации (подпункт «д» пункта 63 Требований), а также контроль конфигураций, управление уязвимостями, мониторинг безопасности и безопасную разработку в контейнерной инфраструктуре. Требование применять сертифицированные средства зависит от сертификации: Positive Technologies планирует завершить сертификацию PT Container Security в начале 2027 года. О самих Требованиях — в статье Приказ ФСТЭК № 117.
Стоимость определяется объёмом лицензии — числом кластеров, узлов под защитой рантайма, реестров и сканеров — и сроком. Пришлите эти цифры — подготовим предложение.
Да, на трёх уровнях: ptcs-cli останавливает сборку в CI/CD, если образ не прошёл проверку; контроллер допуска не пропускает в кластер изменения с нарушениями политик, а образ без действительной подписи может заблокировать; во время работы контейнеров правила реагирования блокируют опасные события.
У контейнеров короткое время жизни, свои механизмы изоляции и уровни абстракции, поэтому традиционные средства защиты часто с ними несовместимы. Защищать нужно и сами контейнеры, и инфраструктуру, в которой они работают, и приложения внутри них — в том числе на уровне кластера и оркестратора.
Продукт работает из коробки: сразу после установки доступны сотни правил для контроля API и манифестов, а экспертизу обновляет вендор. При необходимости контент настраивается под вашу инфраструктуру, можно создавать собственные пакеты экспертизы.