Перейти к содержанию

Выбор проприетарных или opensource-приложений для бизнеса | Блог Касперского


Рекомендуемые сообщения

Опубликовано

Приложения с открытым исходным кодом (open source) прочно обосновались в IT-системах крупного и среднего бизнеса. Начав с доминирования в таких сегментах, как веб-серверы, базы данных и аналитика, сегодня opensource-решения также весьма популярны для контейнеризации, машинного обучения, DevOps и, конечно, для разработки софта. Многие организации переходят на open source и для «не айтишных» задач, таких как CRM, производство графического контента и публикация блогов. В целом, по оценке Gartner, боле 95% организаций в сфере IT используют opensource-решения, но и среди не-IT-компаний цифры тоже уже превышают 40%. И это без учета тех многочисленных случаев, когда библиотеки с открытым исходным кодом используются внутри проприетарных приложений.

В России дополнительный толчок движению open source дало импортозамещение, поскольку адаптировать качественные opensource-разработки для отечественных реалий проще, чем вести их с нуля. Поэтому в России ускорились темпы перехода на открытые ОС, офисные инструменты и так далее.

Выбор открытого (open source) или проприетарного (closed source) решения далеко не прост — это не просто выбор «платного» против «бесплатного» или «без техподдержки» против «с техподдержкой». Для каждого IT-решения и для конкретной организации надо учитывать целый ряд важных аспектов.

Стоимость и график внедрения

Хотя стоимость лицензии на решения open source часто равна нулю, внедрение в организации не будет бесплатным. В зависимости от сложности решения потребуется выделить время IT-команды, привлечь специализированных консультантов по внедрению, а то и нанять разработчиков, которые будут все время адаптировать приложение под нужды организации.

Встречается гибридная модель лицензирования, когда community edition (общедоступная версия) приложения может быть использована бесплатно, но расширенная версия с корпоративными функциями все же требует платной лицензии.

К тому же многие opensource-разработки не снабжены полноценной и(или) актуальной документацией, учебными курсами для конечных пользователей. Для крупных внедрений этот дефицит, возможно, придется восполнять своими силами, тратя время и деньги.

Преимуществом open source на фазе внедрения, безусловно, является возможность полноценного тестирования. Даже если разворачивать opensource-разработку планируется в виде управляемого хостинга или с помощью специализированного подрядчика, запустить пилот (proof of concept) своими силами значительно эффективней, чем смотреть видеодемонстрации проприетарных решений. Сразу будет понятно, насколько функционально и применимо решение в условиях конкретной организации.

До внедрения, сравнивая решения open source и closed source, довольно важно понять, сколько времени есть на тестирование и допустимо ли сменить продукт на ранних этапах теста. Если запас есть и на второй вопрос ответ положителен, то разумно будет подробно протестировать open source.

 

View the full article

Опубликовано
Quote

Приложения с открытым исходным кодом (open source) прочно обосновались в IT-системах крупного и среднего бизнеса.

Факт. И это без тонн рекламы, обращаю внимание.

Quote

В целом, по оценке Gartner, боле 95% организаций в сфере IT используют opensource-решения, но и среди не-IT-компаний цифры тоже уже превышают 40%.

На самом деле ~100% компаний использует опен сорс. Потому что практически не существует программных продуктов, которые бы не использовали компоненты с открытым исходным кодом. То есть даже если ПО вдоль и поперёк с закрытыми исходниками, внутри него куча всего опен сорсного. Желающие могут ознакомиться с компонентами того же KIS4A и убедиться в этом.

Quote

В зависимости от сложности решения потребуется выделить время IT-команды, привлечь специализированных консультантов по внедрению, а то и нанять разработчиков, которые будут все время адаптировать приложение под нужды организации.

Аналогично будет и для проприетарного ПО. Точно также надо будет выделять людей для внедрения, для обучения. И закупать ещё услуги интеграторов, потому что без них вы просто не сможете сделать вообще ничего, т.к. документации нормальной нет, как нет и сообщества.

Quote

Встречается гибридная модель лицензирования, когда community edition (общедоступная версия) приложения может быть использована бесплатно, но расширенная версия с корпоративными функциями все же требует платной лицензии.

Так, давайте разберёмся. FOSS - это не про "бесплатно". Это про "свободно". Потому, из-за таких людей, как автор статьи, стали писать FLOSS. Free/libre and open source software. L добавили, чтобы ещё раз подчеркнуть, что это не про деньги. Даже вот такое объяснение дали: "think of free as in free speech, not as in free beer". Не знаю, как перевести с сохранением вот этого free как бесплатный и свободный, потому переведу в лоб: "воспринимайте "свободный" как "свобода слова", а не как "пивко на халяву"".

Итого. "Free" нужно переводить здесь не как "бесплатный", а как "свободный". Вообще ничего не говорится о деньгах. Раз я только что говорил об OSINT в другой теме, то в пример это и приведу. Вот свободное ПО для OSINT, отечественное. И при этом вполне себе платное. https://github.com/snooppr/snoop Есть бесплатная версия, но функциональность ограничена.

 

Как монетизировать FLOSS каждый решает сам. В том числе есть платные услуги сопровождения и техподдержки. Не нужна техподдержка - не плати.

Quote

К тому же многие opensource-разработки не снабжены полноценной и(или) актуальной документацией, учебными курсами для конечных пользователей.

Многие, да. Потому что опен сорса просто завались. Я, вот, не документирую свои проекты. Но когда речь идёт о проектах, на которых строится всё IT, то они задокументированы по самые помидоры. Никакому коммерческому ПО такое качество документации не снилось.

Quote

Как показывает практика внедрения open source, годовая техподдержка типичного корпоративного приложения в этом случае всего на 10-15% дешевле, чем для проприетарных решений.

Вот с этого я просто сгорел. Одно предложение, а столько вопросов:

  • Типа, 10% экономии - это мало или что? Это огромная цифра, вообще-то!
  • Это касается только тех случаев, когда поддержку покупают. А её можно и не покупать
  • Нет ни одного источника на исследование. Ноль! Вообще ноль, вообще ничего, никаких доказательств. Если для автора статьи слова ноунейма в Интернете являются сразу правдой, то вот моя оценка: переход на опен сорс позволяет вам сэкономить до 103%. Где рассчёты, на что опираюсь? Да я так сказал, вам этого мало или что?

Это прям премия за самый отвратительный источник.

Quote

Хотя зрелые opensource-решения регулярно обновляются, расширяются их функции и устраняются ошибки, нередко случается, что критичный для конкретной организации баг разработчики не считают приоритетным. Еще чаще это бывает с запросами на добавление новых функций. В таких случаях остается либо терпеливо ждать, либо тратить человеко-часы своих (или нанятых) разработчиков на создание нужных фрагментов кода. Хорошо, что это в принципе возможно, но плохо, что это может оказаться крупной и плохо прогнозируемой статьей расходов.

То ли дело проприетарное ПО, где просто кладут болт и всё. Разница между "можно исправить" и нельзя исправить вовсе" всё-таки заметна должна быть всем. Мне понадобилось изменить поведение инструмента для тестирования - взял да изменил: https://github.com/Exodus-Privacy/exodus-standalone/pull/44

Понадобилось другу-пожарному чуть упростить работу со специфичной прогой - взял да сделал https://github.com/DMyachin/PathfinderHandler/commit/b6e606d63f99affe58404ac7de424a9c0d153187 (автор скрыл оригинальный проект, полагаю, что из-за ухода с рынка той проги)

Были не согласия с поведением прилаги - взял да поменял под себя https://github.com/SimpleMobileTools/Simple-Contacts/commit/fc837af84f68e41a14ba9933bf524acb090db5f6

Был не согласен с поведением опен сорсных тестовых фреймворков - взял да переопределил поведение https://gitea.myachin.xyz/umnik/YAF

Quote

Иногда оказывается, что моновендорное решение с закрытым исходным кодом удовлетворяет этим требованиям лучше, чем зоопарк opensource-решений, даже качественных.

Так. WinAPI. Что ещё? Дот нет опен сорс, если что.

Quote

Достоинством open source часто называют более высокую безопасность. Ведь если все видят исходный код и любой может исправить найденную ошибку, то это безопасней проприетарного «черного ящика»?

В общем случае да. Три обратных примера не являются показателем массовости проблемы. Это раз. Проприетарные решения (с этого я начинал этот ответ) опираются на опен сорсные решения точно также, как они сами. Желающие могут взять _любой продукт_ (например от ЛК) и поискать в нём указания о стороннем коде. И найдёте. Типа вот такого https://support.kaspersky.com/help/KSC/CloudConsole/common/legal_notices.txt

 

Опен сорс не является волшебной палочкой. Но только говорить об этом нужно не так, как сказано тут. Сейчас это выглядит в целом как "зачем вам этот головняк, лучше купите".

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      В нашем блоге мы уже не раз рассказывали об уязвимостях в необычных гаджетах, будь то умные матрасы, роботы-пылесосы, аудиокнопки светофоров, детские игрушки, кормушки для животных и даже велосипеды. Но случай, о котором пойдет речь сегодня, пожалуй, один из самых экзотических. Не так давно исследователи кибербезопасности обнаружили две серьезнейшие уязвимости в приложениях для удаленного управления… секс-игрушками компании Lovense.
      В этой истории прекрасно все: природа уязвимых гаджетов, намерение компании-производителя потратить 14 месяцев (!) на устранение проблем, а также скандальные подробности, раскрывшиеся после публикации исследователями доклада о дырах в открытом доступе. Не будем тянуть и перейдем к описанию этой фантастической в своей абсурдности ситуации.
      Что входит в онлайн-инфраструктуру Lovense
      Первый факт, придающий этой истории необычность, в том, что производитель интимных игрушек Lovense ориентирован как на пары, находящиеся в отношениях на расстоянии, так и на моделей, работающих на стриминговых платформах в популярном жанре вебкам.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Команда исследователей из Швейцарской высшей технической школы в Цюрихе опубликовала научную работу, в которой показала, как можно совершить так называемый «побег из песочницы» при помощи атаки типа Spectre v2 в виртуальной среде. Имея доступ только к изолированной виртуальной машине, они смогли похитить ценные данные, которые в норме доступны только администратору сервера. Атака возможна на серверах, построенных на базе процессоров AMD, включая новейшие модели с архитектурой Zen 5, а также на процессорах Intel поколения Coffee Lake.
      Опасность атак типа Spectre для виртуальных сред
      Мы регулярно пишем о процессорных уязвимостях, связанных со спекулятивным выполнением инструкций, в которых штатные особенности «железа» используются для похищения секретов. Предыдущие публикации на эту тему, в которых подробно описывается общий принцип для таких атак, можно прочитать здесь, здесь и здесь.
      Впервые уязвимости такого типа были выявлены в 2018 году, и с тех пор исследователям ни разу не удалось показать сколько-нибудь реалистичную атаку с их использованием. Все работы сводились к идее, что в теории некая сложная таргетированная атака класса Spectre возможна. Более того, в большинстве научных работ на эту тему исследователи ограничивались простейшим сценарием атаки: берем компьютер, устанавливаем на него вредоносную программу и похищаем секреты с применением аппаратных особенностей процессора. Несостоятельность такого подхода заключается в том, что если уж кому-то удастся установить на ПК вредоносное ПО, то он сможет похитить данные тысячей других, куда более простых, способов. Из-за этого Spectre и подобные атаки вряд ли когда-то будут угрожать конечным устройствам. Однако, когда речь идет об облачных средах, списывать Spectre со счетов не стоит.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Опытным геймерам хорошо известно об угрозах, связанных с установкой игр, модов, скинов и другого геймерского ПО из неофициальных ресурсов. Однако источниками заражения могут быть и те платформы, которым пользователи привыкли доверять, — сайты разработчиков и официальные магазины.
      В нашем посте мы разберем несколько случаев, когда злоумышленники распространяли вредоносное ПО через официальные геймерские ресурсы. В конце расскажем, как защитить свою систему, лут и аккаунт — и спокойно играть, не опасаясь встретиться с неожиданными сюрпризами даже на привычных платформах.
      Зараженная утилита для настройки мыши Endgame Gear
      В июле 2025 года производитель продвинутых мышей, ориентированных на киберспортсменов и опытных геймеров, Endgame Gear сообщил о вредоносном ПО, которым была заражена утилита для настройки мыши OP1w 4k v2. Этот троян находился на официальном сайте компании почти две недели — с 26 июня по 9 июля 2025 года.
      На официальной странице игровой мыши модели Endgame Gear OP1w 4k v2 распространялась утилита настройки, зараженная вредоносным ПО. Источник
      Таким образом, пользователи, загрузившие в этот период утилиту с официальной страницы модели, получали вместе с ней вредоносное ПО. В Endgame Gear не уточнили, какая именно вредоносная нагрузка была в зараженной версии утилиты, но, судя по данным пользовательских сканирований, это был бэкдор семейства XRed.
      XRed обладает широким набором возможностей для удаленного управления зараженной системой. Он имеет функцию кейлоггера, а также позволяет злоумышленнику получать доступ к командной строке, делать скриншоты, просматривать содержимое дисков и папок, загружать и удалять файлы. Кроме того, зловред может скачивать дополнительные модули и передавать собранные данные о системе на удаленные серверы.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Вечером 15 сентября началась новая атака на популярнейший реестр JavaScript-компонентов, npm. Ряд пакетов, некоторые из которых имеют миллионы еженедельных загрузок, были заражены вредоносным кодом, крадущим токены и ключи аутентификации. Его самая интересная особенность – он способен распространяться автоматически, заражая другие доступные пакеты. Среди зараженных пакетов отметим популярный @ctrl/tinycolor. По данным Aikido Security были скомпрометированы почти 150 пакетов, включая пакеты Crowdstrike.
      Методика распространения и алгоритм работы
      Способ первого заражения и «нулевой пациент» на сегодня неизвестны. Поскольку «почерк» атаки очень похож на недавний инцидент s1ngularity, возможно, это тоже был фишинг. Но дальнейшая цепочка заражения такова:
      Вредоносный код добавляется в скомпрометированные пакеты в виде постинсталляционного скрипта, сохраненного в файле bundle.js. Когда жертва устанавливает себе зараженный пакет, скрипт начинает свою работу. В отличие от прошлого инцидента, скрипт кроссплатформенный и работает как в *nix-средах, так и под Windows. Скрипт скачивает подходящую для платформы версию TruffleHog, легитимного инструмента поиска секретов. TruffleHog находит в локальных файловых системах и доступных репозиториях строки с высокой энтропией. Это криптографические ключи, API-токены и другая подобная информация. Кроме поиска через TruffleHog, скрипт проверяет полезные токены, анализируя переменные окружения, например GITHUB_TOKEN, NPM_TOKEN, AWS_ACCESS_KEY_ID и AWS_SECRET_ACCESS_KEY. Затем он проверяет, действительны ли они, запросами к API-узлам npm whoami и GitHub user. Затем скрипт компрометирует пакеты npm, к которым у атакованного пользователя есть доступ на публикацию. Для этого он скачивает для заражаемого пакета его текущую версию из npm, увеличивает подверсию на 1, добавляет ссылку на постинсталляционный сценарий (postinstall hook) и записывает свою копию в файл bundle.js. Троянизированный таким образом пакет «новой версии» публикуется в npm. Репозитории жертвы помечаются как публичные, что иногда является отдельной, более важной утечкой.  
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Один из самых больших страхов в жизни человека — потеря домашнего питомца. Неважно, заплутала ли случайно собака в парке во время прогулки или удрала ли кошка исследовать окрестности дачи: любое из подобных событий — мощнейший источник стресса как для человека, так и для животного.
      Разумеется, для животных существуют геотрекеры, но большинство из них работает нестабильно там, где нет Интернета, например в лесу или парке, и там, где сигнал навигационных спутников заблокирован, — скажем, в подвалах, любимых «укрытиях» сбежавших кошаков. Кроме того, подобным геотрекерам нужны мощная батарея и своя SIM-карта, и, вдобавок к высокой цене самого трекера, они требуют постоянных расходов на связь и регулярной зарядки.
      Мы в «Лаборатории Касперского» создали новый сервис — PetKa — для поиска пропавших питомцев в городах. PetKa помогает защитить ваших питомцев и вернуть их домой в случае пропажи. Сегодня расскажем, как устроено наше решение и как начать им пользоваться.
      Умная метка Kaspersky Tag
      Сервис PetKa состоит из одной или нескольких (если у вас больше одного питомца) умных меток Kaspersky Tag и приложения PetKa для Android. Вы прикрепляете к ошейнику вашего любимца умную метку-маячок, авторизуетесь в приложении PetKa через My Kaspersky, добавляете профиль питомца, привязываете его метку в приложении и гуляете как и раньше — только теперь без стресса. PetKa не только обеспечивает отслеживание ваших меток Kaspersky Tag на карте, но и позволяет объединяться с другими пользователями для совместного поиска пропавших животных.
      Так устроена умная метка Kaspersky Tag
      Метка Kaspersky Tag объединяет в себе преимущества технологий GPS и Bluetooth, что позволяет точно определять местоположение питомца. Сигнал от метки будет обнаружен даже в труднодоступных областях: подвалах, оврагах и других сложных местах. В среднем приложение ловит Bluetooth-сигнал метки в обычных условиях в радиусе 60 метров, а на открытых пространствах — например, в парке — до 120 метров. Однако если вы предпочитаете прогулки в черте города, рядом с домами и другими препятствиями, то это расстояние может снижаться до 30 метров.
      В радиусе действия Bluetooth-сигнала вы можете "позвонить" на метку, нажав кнопку Проиграть мелодию в приложении, и найти питомца по звуку. В нашем внутреннем тестировании (а мы полгода испытывали PetKa на собственных любимцах в реальных условиях) внезапно выяснилось, что животные очень быстро понимают: если метка на ошейнике зазвучала, надо со всех лап нестись к хозяину за вкусняшкой.
       
      View the full article
×
×
  • Создать...