Kaspersky Container Security Standard Base

Que comprend la solution Kaspersky Container Security Standard Base ?

Console de gestion – Interface Web pour les analyses, les politiques et les résultats.
Intégration au registre – Docker Hub, Harbor, Artifactory, Nexus, Quay, ECR.
Analyse des images – Vulnérabilités, logiciels malveillants et informations confidentielles telles que les clés et les jetons.
Analyse IaC – Vérification des fichiers de configuration à la recherche d’erreurs et de mauvaises pratiques.
Intégration CI/CD – Jenkins, TeamCity et CircleCI peuvent bloquer les builds qui échouent.
Important – La protection en temps réel et les vérifications de cluster nécessitent le niveau Advanced.

Quels sont les principaux avantages de Kaspersky Container Security Standard Base ?

Kaspersky Container Security est une plateforme dédiée aux applications conteneurisées, dotée de sa propre console de gestion Web. Elle fait partie de la gamme Kaspersky Cloud Workload Security, aux côtés de Kaspersky Hybrid Cloud Security. La version « Standard » correspond au niveau d’analyse de cette plateforme : elle couvre les registres d’images, les pipelines CI/CD et les fichiers d’infrastructure en tant que code, c’est-à-dire l’étape précédant l’arrivée des éléments dans un cluster.

Résultats avant déploiement – Les problèmes sont détectés lors de la compilation, et non en production.
Détection des secrets – Identifie les mots de passe, les clés d’accès et les jetons à l’intérieur des images.
Deux sources de vulnérabilités – Les bases de données du NIST et de Kaspersky alimentent la même analyse.
Build gate – L’étape du pipeline échoue lorsqu’une politique n’est pas respectée.
Infrastructure propre – S’installe sur un réseau d’entreprise public ou privé.
Cibles d’alerte – Syslog vers SIEM, LDAP, e-mail, Telegram, webhook.

À quelle taille d’entreprise le Kaspersky Container Security Standard Base est-il adapté ?

Le facteur déterminant n’est pas l’effectif, mais le fait que vos développeurs créent et publient leurs propres images de conteneurs. Une société de développement de douze personnes disposant d’un pipeline GitLab et d’un registre Harbor tirera davantage parti de ce niveau qu’un fabricant de 300 personnes qui se contente d’acheter des logiciels prêts à l’emploi. Le niveau Standard suppose qu’une personne est responsable du processus de compilation et peut intervenir en cas d’échec de l’analyse.

Kaspersky Container Security Standard Base répond-il aux exigences de la législation suisse en matière de cybersécurité ?

Aucun produit ne le fait à lui seul, et celui-ci ne couvre qu’une partie du tableau. En vertu de la loi révisée sur la sécurité de l’information, l’obligation de signalement s’applique depuis le 1er avril 2025 : les exploitants d’infrastructures critiques doivent signaler toute cyberattaque éligible à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, et disposent d’un délai maximal de 14 jours pour compléter le rapport. Ce que la version Standard apporte dans ce délai de 14 jours, c’est la documentation : l’historique des analyses et le système de signalement indiquent quelle version de l’image comportait quelle vulnérabilité et quand celle-ci a été signalée, ce qui constitue généralement la partie la plus fastidieuse à reconstituer dans un rapport d’incident. Ce qu’il n’apporte pas, c’est la détection elle-même, car la version Standard ne surveille pas les conteneurs en cours d’exécution ; ce n’est donc pas le système qui vous alertera qu’une attaque est en cours. Ce texte ne constitue pas un avis juridique ; il convient de vérifier auprès d’un spécialiste si votre organisation est soumise à l’obligation de signalement.

Kaspersky Container Security Standard Base répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun logiciel ne rend une organisation conforme, car la directive NIS 2 porte sur les processus de gestion et non sur les produits. Parmi les catégories de mesures exigées par la directive figurent les politiques de gestion des risques, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement, ainsi que la sécurité lors de l’acquisition, du développement et de la maintenance des systèmes d’information et de réseau, y compris la gestion des vulnérabilités. Le niveau « Standard » correspond à deux de ces catégories : la gestion des vulnérabilités pendant le développement et la sécurité de la chaîne d’approvisionnement, puisque l’analyse d’une image de base tierce avant son intégration dans votre propre application constitue un contrôle de la chaîne d’approvisionnement. Il ne couvre pas la gestion des incidents, la continuité des activités, le contrôle d’accès, la cryptographie ni la formation du personnel, et ne fournit aucune preuve relative à ces aspects. Les organisations qui ont besoin de vérifications de configuration documentées par rapport à des références reconnues ne les trouveront pas dans ce niveau.

Comparaison des obligations en matière de cybersécurité en Suisse et dans l’UE :
en quoi l’obligation de déclaration suisse et les exigences européennes de la directive NIS 2 diffèrent-elles en termes de portée et de calendrier ?

Que faut-il savoir sur les évaluations officielles de Kaspersky ?

Deux mesures publiées concernent ce fournisseur, et toutes deux restent en vigueur. L’autorité fédérale allemande chargée de la sécurité de l’information met en garde contre l’utilisation des logiciels antivirus Kaspersky depuis le 15 mars 2022 et recommande de remplacer ces applications par des produits alternatifs ; cet avertissement est toujours en ligne, et Kaspersky le conteste en affirmant qu’il ne repose pas sur une analyse technique objective et continue de faire pression pour qu’il soit retiré. Par ailleurs, le ministère américain du Commerce a rendu en juin 2024 une décision définitive interdisant la fourniture de produits de cybersécurité et d’antivirus Kaspersky aux personnes américaines, les nouveaux contrats étant interdits à compter du 20 juillet 2024 et les mises à jour à compter du 29 septembre 2024 ; Kaspersky affirme que cette décision reflète le climat géopolitique plutôt qu’une évaluation de ses produits, et sa propre page produit confirme que les versions d’essai et les téléchargements ne sont pas disponibles pour les clients américains. Aucune interdiction de vente comparable n’a été publiée en Suisse. Dans la pratique, cela concerne principalement les appels d’offres du secteur public, les fournisseurs d’organismes publics allemands et les entreprises dont les clients imposent des conditions relatives à l’origine des fournisseurs dans leurs exigences en matière de chaîne d’approvisionnement ; pour un pipeline de développement purement interne ne comportant pas de telles conditions, la décision vous appartient.

Explications sur les avertissements officiels concernant Kaspersky :
ce qu’ont déclaré les autorités, ce que répond le fournisseur et quels acheteurs sont réellement concernés

Kaspersky Container Security Standard Base est-il utile pour répondre aux questionnaires de sécurité des grands clients ?

En partie, et uniquement dans la section consacrée au développement logiciel. Elle vous apporte une réponse documentée aux questions concernant l’analyse des images de conteneurs à la recherche de vulnérabilités connues, la détection d’identifiants et de jetons codés en dur dans les artefacts de build, la vérification de l’infrastructure-as-code avant le déploiement, la mise en place d’un contrôle de sécurité dans le pipeline CI/CD et le transfert d’événements vers un SIEM. Il n’apporte aucune réponse aux questions concernant la détection et la réponse en temps réel, la protection des terminaux, les preuves de gestion des correctifs, le chiffrement des disques, l’authentification multifactorielle, la sauvegarde ou les vérifications documentées de la configuration du cluster lui-même. Si le questionnaire qui bloque un contrat demande des preuves de surveillance en exécution ou de configuration basées sur des benchmarks, le niveau « Advanced » du même produit résout ces points et s’avère généralement moins coûteux que d’ajouter la plateforme d’un deuxième fournisseur à celle-ci. Notez que les questionnaires demandent de plus en plus souvent où se trouve le siège social de chaque fournisseur de sécurité, ce qui constitue une question distincte à laquelle ce produit ne peut pas répondre pour vous.

Répondre aux questionnaires de sécurité des grands clients :
quelles questions un produit de sécurité peut-il traiter à votre place et lesquelles nécessitent une réponse de l’organisation ?

Quelle est la différence entre les niveaux Standard, Advanced et Advanced Pro ?

La distinction réside dans le fait que le conteneur soit déjà en exécution ou non. La version Standard traite les artefacts avant leur déploiement : les images dans les registres, les images et les fichiers IaC dans le pipeline, ainsi que l’évaluation des risques liés aux résultats de ces analyses. La version « Advanced » ajoute tout ce qui concerne les charges de travail en production et la plateforme sous-jacente, y compris l’analyse des images déjà présentes dans un cluster, le contrôle des conteneurs autorisés à se lancer, l’analyse comportementale, l’analyse du système d’exploitation des nœuds et l’analyse de la configuration par rapport aux exigences réglementaires. La version Advanced Pro va encore plus loin et ajoute l’intégration avec un assistant IA déployé dans votre propre infrastructure, ainsi que des benchmarks de sécurité que vous pouvez adapter à vos propres normes. Les exemples de licences fournis par Kaspersky illustrent clairement cette distinction : un client qui sécurise uniquement ses images de conteneurs se voit proposer la version Standard, tandis qu’un client qui souhaite également des contrôles d’exécution et de conformité se voit proposer la version Advanced.

Quelles sont les limites à connaître avant d'acheter ?

La raison la plus courante d’un achat complémentaire est le «runtime gap» : les équipes achètent la version Standard pour nettoyer leurs images, puis se rendent compte que rien ne surveille les conteneurs une fois qu’ils sont en exécution, et passent à la version Advanced dans l’année. Il existe également une restriction régionale, car la plateforme n'est pas disponible pour les clients américains ; un groupe suisse ou européen disposant d'une filiale aux États-Unis ne peut donc pas la déployer de manière uniforme sur tous ses sites. La couverture de la plateforme se limite aux environnements de conteneurs — Kubernetes, Red Hat OpenShift, Azure AKS et Amazon ECS, avec AWS, Microsoft Azure et Google Cloud Platform comme clouds publics pris en charge — ; les postes de travail Windows, les serveurs de fichiers, les boîtes mail et les appareils mobiles sont donc totalement hors de son champ d’application et nécessitent un produit distinct. De plus, la version Standard n’analyse pas le système d’exploitation des nœuds eux-mêmes, ce qui surprend les acheteurs qui s’attendent à ce qu’une plateforme de sécurité sur un cluster couvre les hôtes qui le composent.

Foire aux questions sur Kaspersky Container Security Standard Base

Le terme « Base » signifie-t-il qu’il s’agit d’un module complémentaire à un autre produit Kaspersky ?

Non. « Base » est la désignation de licence grand public utilisée par Kaspersky pour l’ensemble de sa gamme lors d’un premier achat, par opposition à la mention « Renouvellement » pour une licence existante du même produit. La plateforme fonctionne de manière autonome avec sa propre console de gestion et ne nécessite pas Kaspersky Hybrid Cloud Security ni aucun autre produit Kaspersky, bien qu’elle soit positionnée aux côtés de Hybrid Cloud Security dans la gamme Kaspersky Cloud Workload Security.

Explications sur les désignations « Base », « module complémentaire » et « renouvellement » :
que signifient les différentes désignations de licence proposées dans les boutiques de logiciels et laquelle s’applique à votre situation ?

Cela remplace-t-il la protection des terminaux sur nos serveurs et postes de travail ?

Non, et les deux ne sont pas interchangeables. Cette plateforme analyse les images de conteneurs, les artefacts de déploiement et les fichiers de configuration, et détecte les vulnérabilités, les logiciels malveillants, les secrets et les erreurs de configuration au sein de ces artefacts. Les ordinateurs portables, les serveurs physiques et virtuels, les boîtes mail et les appareils mobiles ne sont couverts par aucun niveau de licence et nécessitent un produit distinct dédié aux terminaux ou aux charges de travail.

Où la solution s’exécute-t-elle et où sont stockés les résultats des analyses ?

La plateforme est installée dans votre propre environnement, au sein d’un réseau d’entreprise public ou privé, et est gérée via une console web accessible depuis Chrome, Edge, Safari ou Firefox. Elle peut être connectée à des bases de données et des systèmes de stockage externes que vous exploitez déjà, notamment PostgreSQL, ClickHouse et MinIO, de sorte que l’historique des analyses et les résultats restent au sein de l’infrastructure que vous contrôlez. C’est un aspect important pour les acheteurs qui doivent indiquer dans un questionnaire où les données de télémétrie de sécurité sont traitées.