2025 год стал для российского open-source в сфере информационной безопасности точкой качественного перехода: от отдельных утилит и «импортозамещающих аналогов» к зрелым продуктам, которые решают реальные, а не гипотетические задпси крупных компаний и организаций. В фокусе оказались не просто инструменты, а целые звенья цепочки безопасной разработки — от доверенной поставки компонентов до защиты уже запущенных приложений в Kubernetes. Мы выбрали пять проектов, которые получили наибольшее внимание сообщества. Именно на них в 2026 году будет ориентироваться большинство команд, использующих open-source.
Пять проектов, определивших год
Движение в сторону открытого кода продолжилось и в 2025 году: российские компании активизировали усилия, предлагая решения, которые закрывают конкретные болевые точки рынка — от безопасной поставки софта до runtime-защиты.
РТК-Феникс — Январь 2025
Безопасный репозиторий от «Ростелекома» стал ответом на критический запрос рынка: как продолжать использовать open-source, минимизируя риски. «РТК Феникс» — это внутренний репозиторий с проверенными на уязвимости и недекларированные возможности компонентами, который автоматически встраивается в процесс разработки и может быть интегрирован с популярными инструментами мониторинга и аналитики, такими как Prometheus и Grafana. Проект, содержащий уже десятки тысяч верифицированных пакетов, стал незаменимым для компаний, переходящих на отечественные стеки, и олицетворяет стратегический тренд на создание доверенных OSS-экосистем.
CyberCodeReview — Январь 2025
Open-source инструмент для автоматизированного ревью кода, созданный с чётким фокусом на информационную безопасность. CyberCodeReview предназначен для раннего выявления классических уязвимостей вроде SQL-инъекций и XSS, бесшовно интегрируясь в рабочий процесс через GitHub и GitLab. Проект быстро стал частью DevSecOps-экосистемы для высокоэффективных команд, что подтверждает отчет State of DevOps Russia 2025.
SourceCraft — Февраль 2025
Платформа от Yandex B2B Tech для анализа исходного кода, предоставившая сообществу часть своих мощных возможностей. Поддерживая более 30 языков программирования, SourceCraft сканирует код на уязвимости, утечки секретов и риски в цепочках поставок. В 2025 году его главным козырем стали обновления для контекстного анализа кода с помощью ИИ, что сделало его популярным инструментом для безопасной разработки в крупных корпорациях.
Runtime Radar — Октябрь 2025
Первый в России open-source проект для мониторинга безопасности и расследования инцидентов в контейнерных средах Kubernetes. Инструмент, размещённый на GitHub, обнаруживает аномалии в реальном времени с помощью технологий eBPF и Tetragon, предоставляя DevOps-специалистам удобные средства для анализа и управления. Популярность Runtime Radar быстро выросла благодаря простоте интеграции, открытости кода и фокусу на защите работающих приложений, что делает runtime-безопасность доступной без значительных затрат.
VulnRisk — Ноябрь 2025
Открытая платформа для оценки рисков уязвимостей, которая выходит за рамки традиционных CVSS-оценок. VulnRisk проводит контекстный анализ, учитывая специфику окружения и критичность активов, что позволяет снизить шум от ложных срабатываний и сфокусироваться на действительно приоритетных угрозах. Популярность проекту принесла открытая модель распространения и адаптация к российским регуляторным требованиям.
Сравнительный анализ ТОП-5 российских ИБ-проектов
|
Проект |
Основная задача |
Ключевая «фишка» |
Кому полезно |
С чем интегрируется |
|
РТК-Феникс |
Безопасность цепочки поставок (SCS) |
Проверенный репозиторий с тысячами чистых пакетов. |
Крупный бизнес, госсектор, финтех. |
CI/CD пайплайны, Prometheus, Grafana. |
|
CyberCodeReview |
Автоматизированное ревью кода |
Фокус на классических уязвимостях (OWASP Top 10) «из коробки». |
DevSecOps-инженеры, небольшие команды. |
GitHub, GitLab. |
|
SourceCraft |
Глубокий анализ и поиск секретов |
Использование ИИ для контекстного анализа кода на 30+ языках. |
Корпоративная разработка, сложные продукты. |
Экосистемы Yandex Cloud и локальные стеки. |
|
Runtime Radar |
Защита работающих приложений |
Использование eBPF для мониторинга ядра без нагрузки на систему. |
DevOps, SRE, облачная безопасность. |
Kubernetes, Tetragon. |
|
VulnRisk |
Управление уязвимостями (Vulnerability Mgmt) |
Приоритизация рисков с учетом бизнес-контекста, а не просто CVSS. |
CISO, ИБ-аналитики, риск-менеджеры. |
Сканеры уязвимостей, реестры активов. |
Итог
2026 год — это время прагматиков. Выбор в пользу отечественного open-source сегодня — это не просто следование тренду на импортозамещение, а стратегический расчет. Мы переходим от использования «того, что осталось» к инструментам, которые дают реальный контроль над кодом, данными и инфраструктурой.
Развитие этих пяти проектов доказывает: российский open-source вырос из стадии «энтузиазма» и стал фундаментом, на котором строится реальная цифровая устойчивость.