KasperskyOS

🛡 Почему уязвимость в драйвере не обязательно ставит под угрозу всю ОС?

В монолитной операционной системе драйверы работают в пространстве ядра. Если злоумышленник успешно атакует такой драйвер, он может получить доступ к привилегированной функциональности системы.

В микроядерной архитектуре используется другой подход: драйверы выносятся из ядра в пространство пользователя (user space), что изолирует привилегированное ядро от драйвера стороннего производителя.

Например, если злоумышленник скомпрометирует драйвер сетевой карты, это не приведет автоматически к компрометации ядра, других драйверов или привилегированных функций ОС.

Однако изоляция не означает полной безопасности. Сетевой стек по-прежнему может быть самостоятельной целью атаки, а уязвимость в драйвере — использоваться для дальнейшего продвижения внутри инфраструктуры.

Поэтому одной изоляции недостаточно. В KasperskyOS она дополняется гранулярным и всеобъемлющим контролем взаимодействий между компонентами. Как устроен этот механизм и от каких угроз он защищает — расскажем в следующем посте.

✅ Как выбирать российскую ОС в 2026 году и что учитывать при миграции?

В эфире AM Live эксперты обсудили, как изменился российский рынок операционных систем, насколько зрелыми стали решения общего и специального назначения и на что стоит смотреть при выборе платформы для корпоративной инфраструктуры.

От «Лаборатории Касперского» в дискуссии участвовал Михаил Левинский, старший менеджер по продукту Kaspersky Thin Client. Вместе с представителями «Базальт СПО», «Группы Астра», НППКТ и РЕД СОФТ он обсудил критерии выбора ОС, совместимость, управление, безопасность, эксплуатацию и практические вопросы миграции.

Отдельно поговорили о том, где достаточно универсальной ОС, а где нужны специализированные решения, какие сложности возникают уже после внедрения и как рынок может измениться в ближайшие 3–5 лет.

👉 Смотрите запись на любой удобной площадке: Rutube | VK Видео | YouTube

RDP и RDS — в чем разница?

➡️ RDP (Remote Desktop Protocol, протокол удаленного рабочего стола) — это протокол, по которому клиентское устройство подключается к удаленному компьютеру. Он передает пользователю изображение рабочего стола, а обратно на сервер — движения мыши и нажатия клавиш. Подробнее о его работе мы рассказывали здесь.

➡️ RDS (Remote Desktop Services, службы удаленного рабочего стола) — уже целая платформа для организации удаленной работы на базе Windows Server. Она использует RDP для подключения, но дополнительно управляет пользовательскими сессиями, распределяет подключения между серверами, предоставляет веб-доступ и контролирует лицензии.

При этом несколько пользователей могут одновременно работать на одном сервере в изолированных сессиях. Основные вычисления выполняются на стороне сервера, поэтому для подключения подходят и маломощные устройства, например тонкие клиенты.

Получается, RDP отвечает за то, как передать данные между клиентом и удаленным компьютером, а RDS — как организовать на этой основе инфраструктуру удаленных рабочих мест.

📣 Российские ОС: что важно проверять до миграции и что происходит после внедрения

В эфире AM Live эксперты российского рынка операционных систем обсудят, как выбирать ОС в 2026 году: на что смотреть кроме функциональности, что обязательно проверять на пилоте, где чаще всего возникают сложности при миграции и как меняются требования к инфраструктуре после перехода.

К дискуссии присоединится Михаил Левинский, старший менеджер по продукту Kaspersky Thin Client. Вместе с представителями РЕД СОФТ, «Базальт СПО», «Группы Астра» и Основы он обсудит зрелость российских ОС, сценарии массовой миграции, смешанные парки Windows и российских систем, роль вендорской поддержки и место специализированных ОС.

Отдельный блок посвятят прогнозу на ближайшие 3–5 лет: какие критерии выбора станут важнее и какие решения, принятые сегодня, могут повлиять на дальнейшее развитие инфраструктуры. 

👉 Зарегистрируйтесь на эфир AM Live, чтобы подключиться к дискуссии о российских операционных системах.

🔎 Команда KasperskyOS уже 10 лет работает с PVS-Studio. Предложения наших разработчиков помогли создать несколько функций анализатора, которые теперь доступны всем пользователям.

С анализатором команда KasperskyOS работает с 2016 года. Разработчики PVS-Studio внимательно относятся к обратной связи от нас и учитывают наши предложения. Благодаря этому в анализаторе появились расширенное диагностическое логирование, возможность отдельно настраивать разные части проекта, интеграция с CodeChecker, новые пользовательские аннотации и правила диагностики.

Один из примеров — утилита pvs-fp-cleanerpf для поиска устаревших маркеров подавления. Идею предложил cтарший разработчик группы разработки тулчейнов KasperskyOS Максим Жуков, а в PVS-Studio ее удачно реализовали. В кодовой базе KasperskyOS она обнаружила 74 неактуальных маркера из 250: почти треть комментариев уже не влияла на результаты анализа. Такой механизм помогает поддерживать код в актуальном состоянии и снижает риск того, что важное предупреждение останется скрытым.

Данная утилита не только улучшает читаемость кода, но и поднимает «боевой дух» команды – ведь чем больше анализатор «фолзит», тем больше у конкретного разработчика желания подавить предупреждение, не вдаваясь в подробности.

— Анна Мелехова, Старший архитектор отдела развития архитектуры KasperskyOS

▶️ О том, как техническая потребность команды разработки проходит путь от обращения в поддержку до новой функции продукта, рассказали наши партнеры из PVS-Studio в отдельном материале.

👀 Что произошло в сентябре на рынке операционных систем?

🟢 Apple исправила уязвимость CVE-2026-86950 в CoreGraphics — системном компоненте для работы с графикой. Ошибка позволяла при обработке специально подготовленного файла выйти за границы буфера и выполнить произвольный код. Apple сообщила о признаках использования уязвимости в сложных целевых атаках против отдельных пользователей iOS до версии 27. Исправление вошло в iOS 26.7.1 и iPadOS 26.7.1, соответствующие обновления получили и поддерживаемые версии macOS.

🔵 Вышла стабильная версия GNOME 51 «A Coruña». Разработчики переработали вывод кадров для более плавной анимации, ускорили запись экрана и добавили автоматический поворот изображения на устройствах с акселерометром. Удаленный рабочий стол теперь поддерживает перенаправление смарт-карт и аутентификацию Kerberos, а GNOME Maps позволяет заранее загружать карты для работы без сети. Изменения также затронули файловый менеджер, календарь, браузер и другие стандартные приложения.

🟣 Fedora представила бета-версию Fedora Linux 45. Среди заметных изменений — замена традиционной консоли ядра на kmscon с улучшенной поддержкой шрифтов и Unicode, обязательная проверка подписи пакетов перед установкой и переход сред рабочего стола на компонент oo7 для хранения секретов. Обновились и инструменты разработки: в предварительной версии доступны Python 3.15, Go 1.27, GCC 16.2 и glibc 2.44. Полный релиз Fedora 45 еще не состоялся.

🟣 Вышла FreeBSD 14.5 — шестой выпуск ветки stable/14. Это преимущественно обслуживающее обновление с исправлениями ошибок, драйверов и проблем совместимости. Одно из заметных нововведений — встроенная поддержка inotify для наблюдения за изменениями файлов и каталогов, которая упрощает перенос программ, рассчитанных на соответствующий интерфейс Linux. Также появилась возможность ограничить доступ из изолированных окружений к потенциально чувствительной информации в окружении ядра и обновились некоторые компоненты базовой системы.

🔵 KaOS продолжает перестраивать системную архитектуру. Выпуск 2026.09 стал вторым стабильным образом, основанным на Dinit: использование systemd сокращается, хотя udev и tmpfiles пока остаются. Одновременно дистрибутив постепенно переходит с KDE Plasma на связку Niri и Noctalia, а загрузчиком по умолчанию стал Limine. Установщик Calamares также адаптировали для полноценной работы в среде Wayland. Plasma 6.7 должна стать последней поддерживаемой серией Plasma в KaOS.

🟣 OPPO и Samsung обновляют собственные программные платформы поверх Android. В ColorOS 17 OPPO делает акцент на глубокой интеграции ИИ: локальных моделях, долговременной персонализированной памяти, ИИ-агентах и взаимодействии системного ассистента со сторонними сервисами. Samsung тем временем начал распространять One UI 9 на серию Galaxy S26: среди новых возможностей — персонализированные сводки, контекстные подсказки, улучшенный перевод и предупреждения о рисках безопасности и конфиденциальности. ColorOS и One UI при этом остаются платформами поверх Android, а не самостоятельными операционными системами.

📣 4 октября выступаем на «Стачке», расскажем, как управлять продуктом с нелинейным жизненным циклом

Алексей Журкин, ведущий разработчик, и Любовь Меньшикова, разработчик, выступят с докладом «Не FSM-ом единым. Как управлять продуктом с нелинейным жизненным циклом» в блоке «7. Инфраструктура».

На ранних стадиях разработки классический конечный автомат (FSM) хорошо справляется с простыми последовательными сценариями. Но по мере роста продукта появляются новые состояния, переходы и зависимости между компонентами. Архитектура усложняется, для новых сценариев требуется больше кода, а разработка и описание жизненного цикла занимают все больше времени.

В докладе Алексей и Любовь расскажут, как искали альтернативу FSM и пришли к StateChart Machine, чем отличаются два подхода и какие преимущества и ограничения есть у StateChart. Разберут это на примерах из разработки Kaspersky Thin Client: покажут, что изменилось при реализации новых сценариев и в описании архитектуры продукта.

🗓 4 октября 2026, 17:00–17:30
📍 г. Санкт-Петербург, ул. Кораблестроителей, 14, Cosmos St. Petersburg Pribaltiyskaya Hotel

Приходите послушать, как StateChart помогает справляться со сложными сценариями в продуктовой разработке.

📣 30 сентября на «Софт Форуме 2026» поговорим о защищенном доступе к виртуальным рабочим местам

В сессии «Выживут сильнейшие. От экосистем к технологическим альянсам» выступят Михаил Левинский, старший менеджер по продукту Kaspersky Thin Client, и Анна Полякова, архитектор-пресейл отдела технической поддержки продаж компании «Базис».

Тема доклада: «Совместное решение «Базис» и Kaspersky для кибериммунного доступа к виртуальным рабочим местам». В формате кейс-презентации спикеры разберут, как партнерство производителей позволяет быстрее создавать комплексные решения и снижать количество рисков, возникающих на стыке отдельных технологий.

🗓 30 сентября 2026
🕛 12:00–13:00
📍 Москва, ул. 2-я Звенигородская, д. 12, стр. 18, метро «Улица 1905 года»

На сессии покажем, как совместимость технологий разных производителей превращается в рабочий сценарий защищенного доступа к виртуальным рабочим местам.

🛡 Завершаем серию о конструктивной информационной безопасности

Обсудим, с чего начать, можно ли применять конструктивные подходы к уже существующим системам и зачем они нужны, если средства защиты уже используются.

В предыдущих постах мы разбирали:

1️⃣Что такое конструктивная информационная безопасность и как правильно ее понимать?
2️⃣Почему конструктивный подход нельзя назвать новым и почему он шире, чем просто «безопасная архитектура»?
3️⃣Что такое конструктивные подходы к построению систем и где их можно применять?
4️⃣Чем конструктивная безопасность отличается от безопасной разработки и почему она не отменяет харденинг?
5️⃣Помогает ли КИБ разрабатывать дешевле и быстрее и уменьшает ли такой подход количество уязвимостей?

Конструктивная информационная безопасность не отменяет безопасную разработку, харденинг и существующие средства защиты. Она помогает связать их с целями безопасности системы и учитывать эти цели на протяжении всего ее жизненного цикла.

🔎 Гетерогенный поиск (lookup) в C++ позволяет искать объект в контейнере по другому типу без промежуточного преобразования и создания временного объекта

Для std::set и std::map такая возможность появилась еще в C++14, а для std::unordered_set и std::unordered_map — только в C++20.

В новой статье на Хабре Евгений Ерохин, старший разработчик «Лаборатории Касперского», показывает, как эту возможность можно применить в разработке на примере драйвера VirtIO Vsock для KasperskyOS. Изначально драйвер начали писать на C, но по мере усложнения работы с соединениями, списками и счетчиками ссылок перешли на C++. В микроядерной архитектуре KasperskyOS драйвер работает как отдельный процесс, поэтому при его разработке можно использовать возможности стандартной библиотеки C++, включая контейнеры и shared_ptr.

В статье автор показывает, почему двусвязные списки оказались неудобны для этой задачи, как unordered_set и shared_ptr упростили работу с соединениями и как is_transparent позволил искать нужное соединение прямо по заголовку входящего пакета. Заодно разбирается, почему такой подход помогает сократить количество лишних преобразований и сделать код компактнее и понятнее.

➡️ Как гетерогенный поиск C++ повлиял на устройство драйвера для KasperskyOS — читайте в полном разборе на Хабре.