Стадия жизненного цикла модуля: Экспериментальная версия

У модуля есть требования для установки

Перед включением модуля необходимо разрешить использование экспериментальных модулей в ModuleConfig deckhouse. Для этого установите параметр allowExperimentalModules в true.

v0.3.0

Дата релиза: 2026-09-23

Контроль допуска начинает работать: контроллер не мог выпустить сертификаты своих вебхуков, поэтому ни одно правило не действовало. NeuVector обновлён до 5.6.2, сканер уязвимостей — до 4.280, Open Policy Agent — до 1.20.2, Consul — до 2.0.4.

Ключевые изменения

  • Правила контроля допуска действуют.
  • Правила реагирования описываются кластерным ресурсом NvResponseRuleSecurityRule.
  • Публикацию веб-консоли и API контроллера можно отключить.
  • Уязвимости выводятся с собственным критическим уровнем серьёзности.

Новый функционал

  • NvResponseRuleSecurityRule описывает правила реагирования в кластере: на какое событие реагировать, при каких условиях и что делать — поместить нагрузку в карантин, подавить запись в журнале или вызвать вебхук. Те же правила привязываются к нагрузкам политики через секцию response ресурсов NvSecurityRule и NvClusterSecurityRule.
  • Параметр ingress.enabled отключает публикацию веб-консоли и API контроллера, а gatewayAPI.enabled — публикацию веб-консоли через Gateway API. Без этих параметров модуль следует одноимённым глобальным настройкам.
  • Список уязвимостей фильтруется по базовой операционной системе образа.
  • Настройка SAML принимает Audience URI.

Улучшения

  • Сканер образов определяет образы на основе Wolfi и Chainguard. Запись реестра, операционную систему которой он не поддерживает, помечается значением OS Unsupported.
  • У уязвимостей появился собственный критический уровень серьёзности: он считается и фильтруется отдельно от высокого. Консоль показывает его тем же цветом, каким всегда отмечала самые опасные находки.
  • В редакторе правил контроля допуска появились названия критериев, считающих уязвимости критического уровня, а в системных настройках — название разрешения конфликта режимов групп.
  • Русский интерфейс покрывает строки, появившиеся в новом выпуске NeuVector.

Исправления

  • Контроль допуска не действовал: правила можно было править в веб-консоли, но ничего не отклонялось. Контроллер не мог выпустить сертификаты своих вебхуков, поэтому конфигурации вебхуков не создавались и API-серверу было некуда обращаться.
  • Инспекция сенсорами DLP и WAF могла прекратиться без каких-либо признаков. Одно неудачное чтение хранилища правил оставляло enforcer на последних применённых правилах, и так продолжалось, пока кто-нибудь не изменит политику.

Обновления безопасности

  • Образы модуля больше не содержат известных уязвимостей, которые приносили средство проверки подписей, Open Policy Agent и хуки модуля: одиннадцать в сумме, четыре из них высокого уровня.

Рекомендации по обновлению

  • Перед обновлением просмотрите правила контроля допуска в веб-консоли. Контроль допуска начинает работать впервые, поэтому включённое там правило начнёт применяться, а правило с действием «запретить» — отклонять нагрузки, которые раньше проходили.
  • Проводите обновление в окно обслуживания. Оно перезапускает контроллер, enforcer, сканер и веб-консоль, а NeuVector переходит сразу через два минорных выпуска.
  • Пересмотрите отчёты и фильтры, отбирающие по уровню серьёзности: часть того, что считалось высоким уровнем, теперь считается критическим.

Известные ограничения

  • Группа, переведённая в режим Protect, перестаёт инспектироваться сенсорами DLP и WAF вместо того, чтобы применять их: сработок нет, а запросы, которые должны блокироваться, проходят. Держите такие группы в режиме Monitor — он восстанавливает инспекцию в течение полуминуты. Контроль допуска — отдельный механизм, он не затронут.

Зависимости

  • NeuVector: 5.4.10 → 5.6.2 (changelog)

    • Добавлены ресурс правил реагирования, фильтр по базовой операционной системе и Audience URI для SAML.

  • NeuVector Scanner: 3.999 → 4.280 (changelog)

    • Добавлено определение образов на основе Wolfi и Chainguard.

  • Open Policy Agent: 1.18.2 → 1.20.2 (changelog)

    • Изменений для пользователя нет: модуль использует Open Policy Agent для вычисления политик контроля допуска.

  • Consul: 1.22.7 → 2.0.4 (changelog)

    • Несовместимые изменения Consul 2.0 касаются сервисной сети и списков управления доступом. Модуль запускает Consul как внутреннее хранилище контроллера и не использует ни то, ни другое, поэтому смена мажорной версии не влияет на пользователя.

v0.2.4

Дата релиза: 2026-09-10

Запросы ресурсов компонентов поддаются настройке, сканер образов запускается в кластерах с закрытым реестром, а ModuleConfig принимает список доступа к веб-консоли, режим HTTPS и переключатель высокой доступности.

Ключевые изменения

  • Запросы и лимиты ресурсов любого компонента можно настроить или зафиксировать статическими значениями.
  • Проверка образов на уязвимости работает в кластерах с закрытым реестром.
  • Доступ к веб-консоли можно ограничить списком CIDR, а режим HTTPS и режим высокой доступности — задать для модуля.

Новый функционал

  • Запросы и лимиты ресурсов задаются параметрами controller.resourcesManagement, manager.resourcesManagement, scanner.resourcesManagement и enforcer.resourcesManagement. Режим VPA задаёт границы, в которых VPA подбирает запросы, отношение лимита к запросу и способ применения рекомендации: Initial, InPlaceOrRecreate или Auto. Режим Static фиксирует запросы и лимиты и отключает подбор — он подходит компоненту, перезапуск которого нежелателен.
  • Значения по умолчанию совпадают с теми, что модуль использовал раньше, поэтому после обновления запросы и лимиты компонентов не изменятся.

Исправления

  • Под сканера образов оставался в состоянии ImagePullBackOff, если реестр образов требует аутентификации, и образы не проверялись на уязвимости. Теперь сканер загружает свой образ с тем же секретом реестра, что и остальные компоненты модуля.
  • ModuleConfig с параметрами auth.whitelistSourceRanges, https или highAvailability отклонялся при применении, поэтому воспользоваться ими было нельзя. Теперь все три параметра принимаются и описаны в документации.

Документация

  • Документация по конфигурации описывает вход в веб-консоль из консоли Deckhouse. Dex передаёт NeuVector только те группы пользователя, которые разрешены клиентом, выполнившим вход, поэтому группа, не указанная в console.auth.allowedUserGroups, не попадает в сопоставление auth.groupRoleMapping, и роль одного и того же пользователя может отличаться в зависимости от способа входа.

v0.2.3

Дата релиза: 2026-08-27

Исправления безопасности в образах компонентов: обновления containerd и websocket, обновление pip в образе manager и OpenVEX-аттестации для оставшихся неисправляемых зависимостью находок.

Ключевые изменения

  • В образах компонентов устранены исправляемые CVE в коде зависимостей и опубликованы OpenVEX-аттестации для находок, которые нельзя закрыть bump зависимостей.

Обновления безопасности

  • В общем дереве NeuVector github.com/containerd/containerd/v2 поднят до v2.2.6 (CVE-2026-46680) с сохранением replace для cri-api.
  • gorilla/websocket поднят до v1.5.3.
  • В финальном образе manager системный pip обновлён до 26.1.2 (CVE-2026-3219, CVE-2026-6357, CVE-2026-8643, CVE-2026-1703).
  • Добавлены OpenVEX-утверждения для GO-2026-5932 на controller, enforcer, scanner и bundle hooks, а также для docker daemon CVE на scanner, где линкуется только клиентская библиотека.

v0.2.2

Дата релиза: 2026-08-24

Исправления безопасности в образах компонентов (устранение CVE).

Ключевые изменения

  • В образы компонентов включены обновления зависимостей и базовых образов, закрывающие известные CVE.

Обновления безопасности

  • В образы компонентов включены исправления безопасности, связанные с CVE.

v0.2.1

Дата релиза: 2026-08-14

Повышена минимальная требуемая версия Deckhouse для модуля.

Ключевые изменения

  • Модуль теперь требует Deckhouse версии 1.74 или выше.

Рекомендации по обновлению

  • Перед обновлением модуля убедитесь, что кластер работает на Deckhouse версии 1.74 или выше.

v0.2.0

Дата релиза: 2026-08-10

Персистентному тому контроллера NeuVector теперь достаточно поддержки ReadWriteOnce (RWO) вместо ReadWriteMany (RWX) — это соответствует тому, как контроллер фактически работает с момента отключения HA-режима.

Ключевые изменения

  • Персистентный том контроллера (PVC data) теперь требует только поддержки ReadWriteOnce (RWO), а не ReadWriteMany (RWX).

Несовместимые изменения

  • Режим доступа PersistentVolumeClaim в Kubernetes неизменяем после создания. Если модуль уже создал PVC data с ReadWriteMany (то есть задан controller.storageClass или в кластере настроен StorageClass по умолчанию), он не будет обновлён автоматически при обновлении модуля. Перед обновлением или во время него удалите существующий PVC data в namespace d8-neuvector, чтобы он пересоздался с ReadWriteOnce; предварительно сделайте резервную копию конфигурации контроллера через интерфейс (Settings → Configuration), так как её содержимое будет потеряно при удалении PVC.

v0.1.14

Дата релиза: 2026-08-05

Поддержка Gateway API для веб-интерфейса manager, передача срабатываний правил WAF/DLP в Deckhouse security-events-manager, доступность модуля для редакций SE+ и EE, а также исправления CVE в образах компонентов.

Ключевые изменения

  • Веб-интерфейс NeuVector manager можно опубликовать через Gateway API.
  • Срабатывания правил WAF/DLP передаются в Deckhouse security-events-manager.
  • Для интеграции с Dex можно настроить собственный CA-сертификат.
  • В образы компонентов включены исправления безопасности, связанные с CVE.

Новый функционал

  • Добавлена поддержка Gateway API для публикации веб-интерфейса NeuVector manager (ресурсы HTTPRoute и ListenerSet).
  • Срабатывания правил WAF и DLP теперь передаются в Deckhouse security-events-manager и отображаются вместе с остальными security-событиями.
  • Добавлено значение конфигурации для собственного CA-сертификата, используемого в интеграции аутентификации Dex.

Улучшения

  • Поддержка пользовательских сертификатов расширена на публикацию веб-интерфейса через Gateway API.
  • Повышено требование к версии Deckhouse — 1.71 или выше.

Обновления безопасности

  • В образы компонентов включены исправления безопасности, связанные с CVE.

Рекомендации по обновлению

  • Этот релиз требует Deckhouse 1.71 или выше. Перед обновлением проверьте версию кластера.
  • Если веб-интерфейс manager публикуется через Gateway API, после обновления проверьте конфигурацию пользовательского сертификата.

v0.1.13

Дата релиза: 2026-06-30

Релиз интеграции с platform-security: редакция CSE, мост security-событий, российский compliance и улучшения WAF/DLP, доработки аутентификации и сканера.

Ключевые изменения

  • Добавлена поддержка редакции CSE.
  • Security-события Deckhouse (включая события Falco и аудит Dex) теперь передаются в NeuVector.
  • Улучшены российский compliance (теги ФСТЭК) и фильтры WAF/DLP.
  • Добавлен эндпоинт API для обмена токенами и уточнено поведение аутентификации OIDC.
  • Улучшена обработка базы уязвимостей и исправлено покрытие сканера для РЕД ОС и Astra Linux 1.8.

Новый функционал

  • Поддержка редакции CSE.
  • Мост security-событий маршрутизирует security- и audit-события Deckhouse в представления security events NeuVector.
  • Эндпоинт POST /v1/token-exchange для обмена токенами в связке с аутентификацией Deckhouse.
  • Admission-контроль для ресурсов типа Service.
  • Улучшения российского compliance-профиля — теги ФСТЭК принимаются фильтрами compliance.
  • Автоматическое обновление и копирование групп и правил WAF/DLP, улучшения русских фильтров.

Улучшения

  • UI и интернационализация: язык по умолчанию и переводы, локальный шрифт Inter, локаль Moment, языковые ссылки и связанные правки UX.
  • Доработки Swagger и документации API; в UI скрыты неподходящие внешние ссылки.
  • Более детальные события аутентификации Dex и Falco Kubernetes audit в security events.
  • Очистка содержимого базы уязвимостей и обрезка слишком длинных описаний.
  • Повышена надёжность обработки уязвимостей для больших объёмов данных.
  • Новые значения конфигурации модуля и уточнения документации (в том числе описание StorageClass).

Исправления

  • Исправлено отображение бейджей и серых protection/compliance-бейджей в отчётах.
  • Исправлен путь обновления WAF/DLP.
  • Исправлены ссылки BDU и поведение кеша базы уязвимостей; добавлены связанные флаги конфигурации модуля.
  • Исправлена работа enforcer с правилами iptables.
  • Удалена чрезмерно широкая network policy, которая могла излишне разрешать трафик.

Обновления безопасности

  • Маппинг ролей OIDC теперь выполняется через API модуля. Встроенная учётная запись default admin удалена в пользу пути аутентификации Deckhouse/OIDC — после обновления проверьте конфигурацию аутентификации (см. заметки по обновлению).
  • В поддержку CSE включены исправления безопасности, связанные с CVE.

Несовместимые изменения

  • Встроенная учётная запись default admin удалена в пользу пути аутентификации Deckhouse/OIDC. Если вы использовали встроенного admin, до обновления убедитесь, что вход через настроенный IdP работает.

Рекомендации по обновлению

  • Перед обновлением кластеров, где ещё используется встроенный admin, проверьте вход администраторов через OIDC/Dex (или другой IdP).
  • При использовании политик WAF/DLP после обновления проверьте группы и правила — логика автообновления/копирования может обновить локальный контент WAF/DLP.
  • Для развёртываний CSE используйте артефакты релиза этого тега с поддержкой CSE.

Документация

  • Обновлены описание модуля и документация по конфигурации, связанная со StorageClass.

v0.1.12

Дата релиза: 2025-12-23

NeuVector теперь доступен для редакции SE+.

Ключевые изменения

  • NeuVector доступен для редакции SE+ (SE Plus).

Новый функционал

  • Модуль включён для редакции SE+ (SE Plus), чтобы кластеры SE+ могли получать релизы NeuVector.

v0.1.11

Дата релиза: 2025-11-14

Добавлена возможность размещать компоненты NeuVector на выбранных узлах с помощью node selector.

Ключевые изменения

  • Компоненты NeuVector можно размещать на выбранных узлах через конфигурацию node selector.

Новый функционал

  • Добавлена поддержка node-selector для планирования нагрузок модуля на выбранные узлы.

v0.1.10

Дата релиза: 2025-11-14

Исправлены ссылки в документации модуля и устранена проблема с недостающим файлом в образе.

Ключевые изменения

  • Восстановлены рабочие ссылки в документации, чтобы операторы могли переходить по ним без ошибок.
  • Исправлена упаковка недостающего файла в образе.

Исправления

  • Восстановлены рабочие ссылки в документации.
  • Добавлен отсутствующий файл в образ, из-за которого могла нарушаться сборка или работа в рантайме.