Перейти к содержанию

Выбор проприетарных или opensource-приложений для бизнеса | Блог Касперского


Рекомендуемые сообщения

Приложения с открытым исходным кодом (open source) прочно обосновались в IT-системах крупного и среднего бизнеса. Начав с доминирования в таких сегментах, как веб-серверы, базы данных и аналитика, сегодня opensource-решения также весьма популярны для контейнеризации, машинного обучения, DevOps и, конечно, для разработки софта. Многие организации переходят на open source и для «не айтишных» задач, таких как CRM, производство графического контента и публикация блогов. В целом, по оценке Gartner, боле 95% организаций в сфере IT используют opensource-решения, но и среди не-IT-компаний цифры тоже уже превышают 40%. И это без учета тех многочисленных случаев, когда библиотеки с открытым исходным кодом используются внутри проприетарных приложений.

В России дополнительный толчок движению open source дало импортозамещение, поскольку адаптировать качественные opensource-разработки для отечественных реалий проще, чем вести их с нуля. Поэтому в России ускорились темпы перехода на открытые ОС, офисные инструменты и так далее.

Выбор открытого (open source) или проприетарного (closed source) решения далеко не прост — это не просто выбор «платного» против «бесплатного» или «без техподдержки» против «с техподдержкой». Для каждого IT-решения и для конкретной организации надо учитывать целый ряд важных аспектов.

Стоимость и график внедрения

Хотя стоимость лицензии на решения open source часто равна нулю, внедрение в организации не будет бесплатным. В зависимости от сложности решения потребуется выделить время IT-команды, привлечь специализированных консультантов по внедрению, а то и нанять разработчиков, которые будут все время адаптировать приложение под нужды организации.

Встречается гибридная модель лицензирования, когда community edition (общедоступная версия) приложения может быть использована бесплатно, но расширенная версия с корпоративными функциями все же требует платной лицензии.

К тому же многие opensource-разработки не снабжены полноценной и(или) актуальной документацией, учебными курсами для конечных пользователей. Для крупных внедрений этот дефицит, возможно, придется восполнять своими силами, тратя время и деньги.

Преимуществом open source на фазе внедрения, безусловно, является возможность полноценного тестирования. Даже если разворачивать opensource-разработку планируется в виде управляемого хостинга или с помощью специализированного подрядчика, запустить пилот (proof of concept) своими силами значительно эффективней, чем смотреть видеодемонстрации проприетарных решений. Сразу будет понятно, насколько функционально и применимо решение в условиях конкретной организации.

До внедрения, сравнивая решения open source и closed source, довольно важно понять, сколько времени есть на тестирование и допустимо ли сменить продукт на ранних этапах теста. Если запас есть и на второй вопрос ответ положителен, то разумно будет подробно протестировать open source.

 

View the full article

Ссылка на комментарий
Поделиться на другие сайты

Quote

Приложения с открытым исходным кодом (open source) прочно обосновались в IT-системах крупного и среднего бизнеса.

Факт. И это без тонн рекламы, обращаю внимание.

Quote

В целом, по оценке Gartner, боле 95% организаций в сфере IT используют opensource-решения, но и среди не-IT-компаний цифры тоже уже превышают 40%.

На самом деле ~100% компаний использует опен сорс. Потому что практически не существует программных продуктов, которые бы не использовали компоненты с открытым исходным кодом. То есть даже если ПО вдоль и поперёк с закрытыми исходниками, внутри него куча всего опен сорсного. Желающие могут ознакомиться с компонентами того же KIS4A и убедиться в этом.

Quote

В зависимости от сложности решения потребуется выделить время IT-команды, привлечь специализированных консультантов по внедрению, а то и нанять разработчиков, которые будут все время адаптировать приложение под нужды организации.

Аналогично будет и для проприетарного ПО. Точно также надо будет выделять людей для внедрения, для обучения. И закупать ещё услуги интеграторов, потому что без них вы просто не сможете сделать вообще ничего, т.к. документации нормальной нет, как нет и сообщества.

Quote

Встречается гибридная модель лицензирования, когда community edition (общедоступная версия) приложения может быть использована бесплатно, но расширенная версия с корпоративными функциями все же требует платной лицензии.

Так, давайте разберёмся. FOSS - это не про "бесплатно". Это про "свободно". Потому, из-за таких людей, как автор статьи, стали писать FLOSS. Free/libre and open source software. L добавили, чтобы ещё раз подчеркнуть, что это не про деньги. Даже вот такое объяснение дали: "think of free as in free speech, not as in free beer". Не знаю, как перевести с сохранением вот этого free как бесплатный и свободный, потому переведу в лоб: "воспринимайте "свободный" как "свобода слова", а не как "пивко на халяву"".

Итого. "Free" нужно переводить здесь не как "бесплатный", а как "свободный". Вообще ничего не говорится о деньгах. Раз я только что говорил об OSINT в другой теме, то в пример это и приведу. Вот свободное ПО для OSINT, отечественное. И при этом вполне себе платное. https://github.com/snooppr/snoop Есть бесплатная версия, но функциональность ограничена.

 

Как монетизировать FLOSS каждый решает сам. В том числе есть платные услуги сопровождения и техподдержки. Не нужна техподдержка - не плати.

Quote

К тому же многие opensource-разработки не снабжены полноценной и(или) актуальной документацией, учебными курсами для конечных пользователей.

Многие, да. Потому что опен сорса просто завались. Я, вот, не документирую свои проекты. Но когда речь идёт о проектах, на которых строится всё IT, то они задокументированы по самые помидоры. Никакому коммерческому ПО такое качество документации не снилось.

Quote

Как показывает практика внедрения open source, годовая техподдержка типичного корпоративного приложения в этом случае всего на 10-15% дешевле, чем для проприетарных решений.

Вот с этого я просто сгорел. Одно предложение, а столько вопросов:

  • Типа, 10% экономии - это мало или что? Это огромная цифра, вообще-то!
  • Это касается только тех случаев, когда поддержку покупают. А её можно и не покупать
  • Нет ни одного источника на исследование. Ноль! Вообще ноль, вообще ничего, никаких доказательств. Если для автора статьи слова ноунейма в Интернете являются сразу правдой, то вот моя оценка: переход на опен сорс позволяет вам сэкономить до 103%. Где рассчёты, на что опираюсь? Да я так сказал, вам этого мало или что?

Это прям премия за самый отвратительный источник.

Quote

Хотя зрелые opensource-решения регулярно обновляются, расширяются их функции и устраняются ошибки, нередко случается, что критичный для конкретной организации баг разработчики не считают приоритетным. Еще чаще это бывает с запросами на добавление новых функций. В таких случаях остается либо терпеливо ждать, либо тратить человеко-часы своих (или нанятых) разработчиков на создание нужных фрагментов кода. Хорошо, что это в принципе возможно, но плохо, что это может оказаться крупной и плохо прогнозируемой статьей расходов.

То ли дело проприетарное ПО, где просто кладут болт и всё. Разница между "можно исправить" и нельзя исправить вовсе" всё-таки заметна должна быть всем. Мне понадобилось изменить поведение инструмента для тестирования - взял да изменил: https://github.com/Exodus-Privacy/exodus-standalone/pull/44

Понадобилось другу-пожарному чуть упростить работу со специфичной прогой - взял да сделал https://github.com/DMyachin/PathfinderHandler/commit/b6e606d63f99affe58404ac7de424a9c0d153187 (автор скрыл оригинальный проект, полагаю, что из-за ухода с рынка той проги)

Были не согласия с поведением прилаги - взял да поменял под себя https://github.com/SimpleMobileTools/Simple-Contacts/commit/fc837af84f68e41a14ba9933bf524acb090db5f6

Был не согласен с поведением опен сорсных тестовых фреймворков - взял да переопределил поведение https://gitea.myachin.xyz/umnik/YAF

Quote

Иногда оказывается, что моновендорное решение с закрытым исходным кодом удовлетворяет этим требованиям лучше, чем зоопарк opensource-решений, даже качественных.

Так. WinAPI. Что ещё? Дот нет опен сорс, если что.

Quote

Достоинством open source часто называют более высокую безопасность. Ведь если все видят исходный код и любой может исправить найденную ошибку, то это безопасней проприетарного «черного ящика»?

В общем случае да. Три обратных примера не являются показателем массовости проблемы. Это раз. Проприетарные решения (с этого я начинал этот ответ) опираются на опен сорсные решения точно также, как они сами. Желающие могут взять _любой продукт_ (например от ЛК) и поискать в нём указания о стороннем коде. И найдёте. Типа вот такого https://support.kaspersky.com/help/KSC/CloudConsole/common/legal_notices.txt

 

Опен сорс не является волшебной палочкой. Но только говорить об этом нужно не так, как сказано тут. Сейчас это выглядит в целом как "зачем вам этот головняк, лучше купите".

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      От KL FC Bot
      Приложения для фитнеса в силу своей природы имеют доступ к большому количеству персональных данных, особенно те, которые отслеживают разнообразные активности на свежем воздухе, в первую очередь — бег. Во время трекинга они собирают массу данных: пульс и другие параметры физической активности, количество шагов, пройденную дистанцию, перепад высот и, разумеется, геолокацию, — для максимально подробного анализа тренировки.
      А люди редко занимаются бегом в каких-то случайных местах. Обычно их маршруты повторяются и расположены где-нибудь рядом с домом, работой, учебой, военной базой… То есть местом, где человек бывает часто и, скорее всего, в одно и то же время. Что будет, если эта информация попадет не в те руки?
      Последствия могут быть катастрофическими. Так, несколько лет назад опубликованная одним из беговых приложений карта выдала местоположение целого ряда секретных военных объектов. А летом 2023 года, предположительно, благодаря данным из того же приложения, наемным убийцей во время пробежки был застрелен командир российской подводной лодки Станислав Ржицкий.
      Разумеется, утечка геоданных может быть опасна не только для военных. Несложно представить сценарии, в которых она может привести к неприятностям не только для очевидных целей таргетированной атаки (например, знаменитостей, политических деятелей или топ-менеджеров какой-либо компании), но и для обычных людей.
      Зная о ваших перемещениях, злоумышленники с удовольствием используют их для шантажа и устрашения. Пресловутое «я знаю, где ты живешь и все твои передвижения» значительно повышает вероятность того, что жертва испугается и выполнит требования мошенников.
      Помимо прямых угроз, геотрекинг прекрасно дополняет данные, утекшие из других приложений или собранные при помощи доксинга, что заметно повышает успех таргетированной атаки. И не стоит думать, что уж вы-то точно не заинтересуете мошенников настолько, чтобы устраивать сложную атаку. Жертвой может стать каждый, и далеко не всегда конечной целью злоумышленников является финансовая выгода.
      Но не только геоданные собираются и анализируются приложениями для бега. Как и все фитнес-аппы, они следят за активностью и физическим состоянием, которые могут многое рассказать о здоровье человека. И эта информация также может оказаться полезной для атаки с применением социального инжиниринга. Ведь чем больше злоумышленник знает о жертве, тем изощреннее и эффективнее его действия.
      Так что к выбору приложения для трекинга бега и настройке его конфиденциальности стоит подойти максимально осознанно — и в этом вам помогут наши советы.
      Общие советы по выбору бегового приложения и настройке приватности в нем
      Первое, что делать категорически не стоит, — устанавливать подряд все трекеры бега и затем выбирать наиболее понравившийся. Таким образом вы передадите свои персональные данные всем подряд, что значительно увеличит риск их попадания в руки злоумышленников. Чем меньшим количеством приложений вы пользуетесь, тем меньше риск утечки. Но стоит помнить, что ни одна компания не может гарантировать стопроцентную сохранность данных.
      Кто-то вкладывается в безопасность своих пользователей больше, кто-то меньше, и предпочтение лучше отдавать тем, кто серьезно подходит к сохранности и анонимизации пользовательских данных. Для этого стоит внимательно изучить политику конфиденциальности (Privacy Policy) выбранного приложения. Добросовестные разработчики укажут, какие данные собирает приложение, с какой целью, какие из них могут быть переданы третьей стороне, какие права у пользователя в отношении персональных данных и так далее. Дополнительно полезно будет поискать в Сети или поинтересоваться у ИИ-ассистента, были ли случаи утечек данных у интересующего вас приложения. Для этого достаточно в поисковом запросе указать название приложения плюс data breaches или data leak. Ну и, разумеется, отзывы пользователей тоже никто не отменял.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      По решению компании Google наши приложения для защиты устройств на базе Android в настоящее время недоступны в официальном магазине приложений Google Play.
      Это решение Google основано на недавнем запрете правительства США на распространение и продажу продуктов «Лаборатории Касперского» в Соединенных Штатах после 29 сентября 2024 года. Хотя эти ограничения и не имеют юридической силы за пределами США, Google в одностороннем порядке удалил все наши продукты из Google Play, лишив пользователей своего магазина приложений во всем мире доступа к нашим лидирующим защитным решениям для Android.
      Мы считаем, что Google избыточно трактует решение Министерства торговли США, ограничительные меры которого никак не запрещают продажу и распространение продуктов и услуг Kaspersky за пределами США. Мы обсуждаем данную ситуацию со всеми вовлеченными сторонами.
      Что будет с уже установленными из Google Play приложениями?
      Все наши приложения, установленные из Google Play на Android-устройства, продолжат нормально работать. Все платные подписки и функции приложений остаются активными, базы угроз продолжат обновляться, поскольку управление лицензиями и обновлениями вирусных баз происходит через нашу собственную облачную инфраструктуру. Однако обновить сами приложения или переустановить их непосредственно из Google Play не получится.
      Как теперь установить или обновить приложения Kaspersky для Android?
      Чтобы ваши Android-устройства не остались без защиты, мы рекомендуем загрузить или обновить наши Android-приложения из других мобильных сторов крупных производителей смартфонов, например Galaxy Store от Samsung, Huawei AppGallery, Xiaomi GetApps и других, или из официального российского магазина приложений RuStore. Опытные пользователи могут установить приложения «Лаборатории Касперского» самостоятельно с помощью APK-файлов, доступных на нашем сайте.
      На официальной странице нашей технической поддержки есть подробная статья с актуальными ссылками на все магазины приложений, в которых мы представлены, и на прямое скачивание APK-файлов, плюс инструкции по установке и активации наших приложений из APK-файлов.
      Все актуальные версии наших продуктов сохраняют полную работоспособность, поддерживают самые свежие операционные системы (в том числе Android 15) и продолжают защищать пользователей от современных киберугроз.
      View the full article
    • Elly
      От Elly
      Друзья!
       
      Сложность и многовекторность киберугроз возлагает особую роль на компании, ответственные за корпоративную безопасность. «Лаборатория Касперского» основываясь на многолетнем опыте, создала множество программных решений для защиты своих корпоративных клиентов. Мы предлагаем вам поучаствовать в викторине о продуктах АО «Лаборатория Касперского» для крупного бизнеса, в ходе прохождения которой оценить разнообразие и эффективность применяемых защитных решений. В целях успешного прохождения викторины предлагаем пользоваться публикациями (обзорами) в формате pdf, размещёнными на страницах о соответствующем продукте.
       
      НАГРАЖДЕНИЕ
      Без ошибок — 1 000 баллов Одна ошибка — 900 баллов Две ошибки — 800 баллов Баллами можно оплатить лицензии и сувениры в магазине Клуба. 
       
      ПРАВИЛА ПРОВЕДЕНИЯ
      Викторина проводится до 20:00 8 октября 2024 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю@Mrak (пользователей @Машуня и @Ellyвключать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю@Ellyчерез систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
    • KL FC Bot
      От KL FC Bot
      Серьезные ИБ-инциденты порой затрагивают многих участников, зачастую и тех, кто повседневно не занимается вопросами ИТ и ИБ. Понятно, что в первую очередь усилия сосредоточиваются на выявлении, сдерживании и восстановлении, но, когда пыль немного осядет, наступает время для еще одного важного этапа реагирования — извлечения уроков. Чему можно научиться по итогам инцидента? Как улучшить шансы на успешное отражение подобных атак в будущем? На эти вопросы очень полезно ответить, даже если инцидент не принес существенного ущерба из-за эффективного реагирования или просто удачного стечения обстоятельств.
      Немного о людях
      Разбор инцидента важен для всей организации, поэтому к нему обязательно привлекать не только команды ИТ и ИБ, но также высшее руководство, бизнес-владельцев ИТ-систем, а также подрядчиков, если они были затронуты инцидентом или привлекались к реагированию. На встречах этой рабочей группы нужно создать продуктивную атмосферу: важно донести, что это не поиск виноватых (хотя ошибки будут обсуждаться), поэтому перекладывание ответственности и манипулирование информацией исказят картину, повредят анализу и ухудшат позицию организации в долгосрочной перспективе.
      Еще один важный момент: многие компании скрывают детали инцидента в страхе за репутацию или опасаясь повторной кибератаки по тому же сценарию. И хотя это вполне объяснимо и некоторые подробности действительно конфиденциальны, нужно стремиться к максимальной прозрачности в реагировании и делиться подробностями атаки и реагирования если не с широкой публикой, то как минимум с узким кругом коллег из сферы ИБ, которые могут предотвратить похожие атаки на свои организации.
       
      View the full article
    • KL FC Bot
      От KL FC Bot
      Игра Battle City, более известная как танчики, — символ давно ушедшей эпохи. Около 30 лет назад геймеры вставляли картридж в приставку, садились за пузатые телевизоры и пачками уничтожали вражеские танки до тех пор, пока кто-нибудь им не скажет про «кинескоп, который вот-вот должен сесть».
      Сегодня мир совсем другой, а танчики по-прежнему популярны. Дело в том, что современные аналоги предлагают геймерам не только поиграть, но и заработать NFT-токены. Злоумышленники тоже кое-что предлагают: сложную атаку для любителей криптовалютных игр.
      Бэкдор и эксплойт уязвимости нулевого дня в Google Chrome
      Эта история началась в феврале 2024 года, когда наше защитное решение обнаружило проникновение бэкдора Manuscrypt на компьютер пользователя из России. Такой бэкдор нам давно известен, его различные версии используют члены группировки APT Lazarus как минимум с 2013 года. Но что особенного в этой истории, если мы прекрасно знаем основной инструмент и методы работы злоумышленников?
      Дело в том, что эти хакеры обычно нацелены на крупные организации: банки, IT-компании, университеты и даже правительственные организации. Теперь руки Lazarus дотянулись до физических лиц — бэкдор на компьютере частного пользователя! Киберпреступники заманили жертву на сайт игры и получили полный доступ к ее компьютеру. Злоумышленникам удалось это сделать благодаря трем составляющим:
      невероятному желанию жертвы сыграть в любимые танчики в новой оболочке; уязвимости нулевого дня в Google Chrome; наличию эксплойта, позволявшего удаленно выполнить код в процессе Google Chrome. Для тех, кто переживает: компания Google выпустила обновление браузера, заблокировала сайт танчиков и поблагодарила исследователей безопасности «Лаборатории Касперского». Но на всякий случай: наши продукты детектируют и бэкдор Manuscrypt, и эксплойт. Подробности этой истории мы раскрыли в блоге Securelist.
       
      View the full article
×
×
  • Создать...