DevSecOps для самых маленьких: 2\n. All Pick
Люди, которые только входят в DevSecOps, обычно теряются. Открываешь список направлений: секреты, харденинг, микросегментация, сканирование, supply chain, Policy as Code, runtime, управление уязвимостями. Непонятно, за что хвататься. Инструментов ещё больше, и кажется, что надо освоить всё сразу.
В Dota у каждого героя своя роль: кто-то танкует, кто-то хилит, кто-то бьёт. В DevSecOps так же: у каждого направления своя задача. Качать всё сразу не нужно, но понимать мету полезно. Иначе теряешься, когда кто-то кричит «Crystal Maiden должна вардить!» «Там Grafana алертит!».
Эта статья — карта, а не энциклопедия. В 2026 году выбор инструмента в России — это не только «что умеет», но и «доступно ли, поддерживается ли, есть ли в реестре». Поэтому по каждому направлению есть open source и российские решения. Актуально на сентябрь 2026. Продукты в таблице — точка, откуда копать, а не реклама.
С чего начинать. По моему опыту, в реальных проектах чаще всего выстреливает не экзотика, а секрет в чужом .env и контейнер, запущенный от root. Начни с этого.
| Направление | Зачем | С чего начать (open source) | Российские решения* |
| Секреты | Пароли и токены в одном месте, а не в .env и чатах | Gitleaks, SOPS + age; хранилище: Vault (лицензия BUSL) или OpenBao | Deckhouse Stronghold, StarVault |
| Харденинг | Убрать лишнее и опасные значения по умолчанию | kube-bench, Kubescape, Pod Security Admission | Deckhouse Kubernetes Platform, Kaspersky Container Security, Luntry, PT Container Security |
| Микросегментация | Внутренние стены: взлом одного пода не открывает весь кластер | NetworkPolicy, Cilium, Calico | Deckhouse Kubernetes Platform, Luntry |
| Сканирование кода и зависимостей | Найти дыры до прода | Semgrep, Bandit, Gitleaks, OWASP ZAP, OWASP Dependency-Check, Trivy** | PT Application Inspector, Solar appScreener, AppSec.Wave, PVS-Studio, СКАТмен, SASTAV |
| Supply chain | Знать, что внутри образа и кто его собрал | Syft (SBOM), Cosign (подпись), Grype | Kaspersky Container Security |
| Policy as Code | Правила в Git; кластер сам отклоняет плохие манифесты | Kyverno, OPA Gatekeeper, Conftest | Luntry |
| Runtime | Видеть странное в работающем контейнере | Falco, Tetragon, Tracee, KubeArmor | Luntry, Kaspersky Container Security |
| Управление уязвимостями | Приоритизировать находки, назначать ответственных | DefectDojo, Grype | R-Vision VM, CodeScoring, AppSec.Hub |
* Состав продуктов, редакции и сертификаты меняются. Перед внедрением сверь функции своей редакции с документацией и реестром.
** В марте 2026 Trivy был скомпрометирован, подробности и меры в части 6. Версии фиксируй по дайджесту.
Нюансы выбора в России
Прежде чем брать инструмент, пройди четыре пункта.
Лицензия конкретной версии. BUSL, GPL и AGPL ставят разные условия, смотри на свой сценарий внедрения.
Доступность. Репозитории, обновления, поддержка. Для критичных проектов держи локальное зеркало или корпоративный репозиторий.
Требования к отечественному ПО. Зависят от типа организации и системы.
Сертификация ФСТЭК. Нужна не всегда. Если нужна, проверь в реестре номер, срок действия, точное название продукта и область применения.
Карта в терминах Dota
Секреты — саппорт, который вардит. Харденинг — герой без лишнего в инвентаре. Микросегментация — линии, которые держат позиции. Сканирование — варды на рунах (вард — «глаз» на карте). Supply chain — проверка курьера. Policy as Code — автоатака: срабатывает сама, без команд. Runtime — миникарта. Управление уязвимостями — порядок в предметах.
Начать можно с бесплатного, с одного героя, с одной проверки. Найди первую реальную дыру, которую видно уже сегодня (чужой .env, root-контейнер, образ без подписи), и закрой её. DevSecOps становится игрой не тогда, когда выучены все герои, а когда ты поставил первый нормальный вард.
Напоминаю, что статьи мы обсуждаем в Telegram-канале. Недушный ИнфоБез.
