3. 运行基线核验概念
3.1 运行基线的定义
运行基线（Runtime Baseline）是指在生产环境中，服务实例在正常、稳定、安全状态下所表现出的最小可接受行为集合与资源消耗阈值。它并非静态的配置清单，而是通过持续观测、统计学习与专家经验共同沉淀的一组动态参考标准。
在服务目录平台中，运行基线通常包含以下维度：
| 维度 | 定义 | 示例 |
|---|---|---|
| 资源基线 | CPU、内存、磁盘、网络等基础设施资源的稳态使用区间 | CPU 使用率 20%~60%，内存占用 1.2GB~2.5GB |
| 行为基线 | 进程、文件、网络连接、系统调用等运行时行为的白名单集合 | 仅允许访问 443/8443 端口，禁止执行 /tmp 目录下的二进制文件 |
| 依赖基线 | 服务所依赖的外部组件、API、中间件的版本与连接状态 | Redis 6.2.x，MySQL 8.0.x，Kafka 3.3.x |
| 安全基线 | 安全配置、漏洞阈值、身份认证与访问控制的最低要求 | 容器非 root 运行，镜像无高危 CVE，TLS 1.2+ |
| 性能基线 | 响应时间、吞吐量、错误率等关键性能指标的 SLA 下限 | P99 延迟 < 200ms，错误率 < 0.1% |
关键认知：运行基线不是一次性的“快照”，而是随服务版本迭代、业务流量变化、安全态势演进而持续校准的“活基准”。SBOM 观测标签体系正是为这种动态基线提供可追溯、可审计的元数据支撑。
3.2 核验的目标：合规、安全、性能
运行基线核验（Runtime Baseline Verification）是对服务实例当前运行状态与预设基线之间的一致性检查。其核心目标可归纳为三个维度：
- 合规（Compliance）：确保服务运行符合组织策略、行业标准（如 PCI-DSS、HIPAA、GDPR）及监管要求。例如：日志必须保留 180 天，敏感数据必须加密存储。
- 安全（Security）：检测运行时是否存在偏离安全基线的异常行为，包括未授权进程启动、异常网络连接、提权操作、恶意文件写入等。这是云原生环境中“运行时安全”的核心防线。
- 性能（Performance）：验证服务是否在预期的性能边界内运行，避免因资源泄漏、配置退化或依赖故障导致的性能劣化，保障用户体验与 SLA。
三者之间的关系并非孤立，而是相互影响、共同构成服务健康度的三角模型：
3.3 常见核验场景
在服务目录平台的日常运营中，运行基线核验贯穿于服务的全生命周期。以下是五种最典型的核验场景：
| 场景 | 触发条件 | 核验对象 | 预期产出 |
|---|---|---|---|
| 1. 服务上线前准入 | 新版本发布、扩缩容、迁移 | 镜像签名、安全配置、资源限制 | 准入/拒绝决策报告 |
| 2. 周期性健康巡检 | 定时任务（如每 5 分钟） | 进程白名单、端口监听、文件完整性 | 基线偏离告警列表 |
| 3. 安全事件响应 | IDS/EDR 告警、异常行为检测 | 网络连接、系统调用、特权操作 | 攻击溯源与影响范围评估 |
| 4. 性能退化分析 | P99 延迟突增、错误率上升 | 资源使用率、GC 频率、连接池状态 | 根因定位与优化建议 |
| 5. 合规审计 | 季度审计、监管检查、SOC2 认证 | 日志留存、数据加密、访问控制策略 | 合规评分与整改清单 |
实践要点：在服务目录平台中，每个核验场景都应关联对应的 SBOM 观测标签。例如，“服务上线前准入”场景需要绑定
image_signature、security_config、resource_limit 等标签，以便核验引擎快速检索并比对基线数据。
3.4 核验流程与 SBOM 标签的交互
运行基线核验并非孤立的检查动作，而是与 SBOM 观测标签体系深度耦合的闭环流程。下图展示了从基线定义到核验结果反馈的完整链路：
常见误区：许多团队将运行基线核验等同于“配置检查”，忽略了运行时行为的动态变化。例如，一个容器镜像在构建时是安全的，但运行时可能被注入恶意进程。因此，核验必须覆盖静态配置与动态行为两个层面，而 SBOM 观测标签正是连接这两者的桥梁。
3.5 核验结果的处置策略
根据核验结果与基线之间的偏离程度，服务目录平台应执行差异化的处置策略：
- 通过（Pass）：所有维度均符合基线，服务状态标记为“健康”，继续正常调度。
- 警告（Warning）：偏离在可接受阈值内（如 CPU 使用率短暂超过基线 10%），触发告警但不阻断，由运维人员确认。
- 阻断（Block）：严重偏离安全或合规基线（如检测到提权操作、敏感数据外传），立即隔离实例并触发自动响应流程。
- 降级（Degrade）：性能基线不达标但未触发安全风险，将实例从负载均衡池中摘除，进入“降级服务”模式。
以上策略均需在 SBOM 观测标签中记录核验时间戳、结果状态、处置动作，形成可审计的核验轨迹，为后续的基线调优与安全取证提供完整数据支撑。