2. 云原生环境安全挑战：容器逃逸、镜像漏洞、配置漂移、运行时威胁、供应链攻击

云原生环境在带来弹性与敏捷性的同时，也引入了与传统 IT 架构截然不同的安全攻击面。容器逃逸、镜像漏洞、配置漂移、运行时威胁与供应链攻击构成了云原生安全五大核心挑战。理解这些威胁的本质与攻击路径，是构建有效基线核验与偏差回归检查的前提。

2.1 五大安全挑战全景

下表从攻击目标、典型风险与影响范围三个维度，对五大挑战进行横向对比：

2.2 容器逃逸：隔离边界的失效

容器逃逸是云原生环境最具破坏力的攻击之一。攻击者利用内核漏洞（如 CVE-2022-0492）、不当的 Capabilities 配置（如 CAP_SYS_ADMIN）或挂载宿主机敏感目录（如 /var/run/docker.sock），从容器内部突破隔离边界，获得宿主机控制权。

2.3 镜像漏洞：不可变基础设施的“变质”

容器镜像作为不可变基础设施的核心单元，其安全性直接决定运行时的风险水平。镜像漏洞包括：

• 已知 CVE： 基础镜像或应用依赖中存在的公开漏洞（如 Log4j、OpenSSL）。
• 恶意植入： 攻击者在镜像构建阶段植入后门、挖矿程序或窃密脚本。
• 配置弱项： 镜像内硬编码密钥、开放不必要的端口、使用 root 用户运行。

镜像漏洞的传播具有“一次构建，处处运行”的放大效应，一个被污染的镜像即可导致大规模安全事件。

2.4 配置漂移：安全基线的慢性侵蚀

配置漂移是指容器或 Pod 的运行配置在部署后，因手动变更、热更新、运维脚本或恶意篡改，逐渐偏离初始安全基线的过程。常见漂移场景包括：

1. 通过 kubectl exec 进入容器安装软件或修改配置。
2. Sidecar 容器或 Init 容器动态修改主容器的安全上下文。
3. 集群管理员临时调整 Pod 的 securityContext 或 hostNetwork 参数。

2.5 运行时威胁：动态攻击的实时对抗

运行时威胁发生在容器启动后，攻击者利用应用漏洞或配置缺陷，在容器内部执行恶意行为。典型威胁包括：

• 进程级攻击： 反弹 Shell、提权操作、执行未授权二进制文件。
• 文件系统攻击： 篡改关键文件、写入恶意脚本、删除日志。
• 网络攻击： 横向移动、DNS 隧道、连接已知恶意 IP。

运行时威胁的检测依赖行为基线建模，任何偏离进程白名单、文件完整性基线或网络连接基线的行为，都应被实时捕获并阻断。

2.6 供应链攻击：从源头污染管道

云原生供应链攻击利用 CI/CD 管道的复杂性，在代码、依赖、镜像或部署配置中植入恶意载荷。攻击路径包括：

• 依赖投毒： 向公共仓库上传包含恶意代码的库包（如 npm、PyPI、Maven）。
• 镜像篡改： 在镜像构建或推送过程中替换合法镜像层。
• CI 脚本劫持： 利用 CI 环境变量或凭证，在构建流水线中注入恶意步骤。

供应链攻击的隐蔽性极强，往往在部署运行数周甚至数月后才被发现，因此基线核验必须覆盖从代码提交到镜像部署的全链路。

2.7 五大挑战关联关系图

下图展示了五大安全挑战在云原生环境中的攻击链路与相互影响关系：

2.8 基线核验的防御纵深

针对上述五大挑战，云原生安全基线核验需要建立分层防御策略：