3、镜像供应链安全全景：全链路风险分析

镜像供应链安全是云原生安全的核心防线。一个容器镜像从代码提交到生产运行，历经构建、存储、传输、部署和运行时五个阶段，每个阶段都存在独特的安全风险。本章从全链路视角拆解各阶段风险，并给出可落地的巡检与防护策略。

3.1 镜像构建阶段风险

构建阶段是安全左移的第一道关口。风险主要来自基础镜像、依赖库、构建过程和构建工具链。

3.2 镜像仓库存储阶段风险

镜像仓库是供应链的中枢节点。风险集中在访问控制、镜像完整性、仓库配置和镜像老化管理。

• 访问控制薄弱：匿名拉取、弱密码、未启用 RBAC，导致镜像被非法拉取或篡改。
• 镜像完整性缺失：未使用签名（Cosign/Notary），镜像被中间人替换后无法感知。
• 仓库配置风险：公开仓库暴露敏感信息、未启用镜像扫描、未限制存储配额。
• 镜像老化与垃圾：大量过时镜像占用存储，且包含未修复漏洞的旧版本。

3.3 镜像传输阶段风险

镜像从仓库传输到集群节点的过程，面临中间人攻击、传输劫持和镜像缓存投毒等风险。

3.4 镜像部署阶段风险

部署阶段是安全策略落地的关键环节。K8s 在拉取和启动镜像时，需要验证镜像的合法性、完整性和策略合规性。

• 镜像拉取策略不当：使用 imagePullPolicy: Always 导致频繁拉取，增加攻击面；使用 IfNotPresent 可能使用本地被篡改的缓存。
• 镜像准入控制缺失：未配置 OPA/Gatekeeper 或 Kyverno 策略，允许未签名、高危漏洞或非白名单镜像运行。
• 镜像凭证泄露：将私有仓库凭证硬编码在 Pod YAML 或 ConfigMap 中。
• 镜像拉取超时与重试：恶意镜像导致 kubelet 反复拉取，引发节点资源耗尽。

# 查看所有 Pod 的 imagePullPolicy
kubectl get pods --all-namespaces -o jsonpath='{range .items[*]}{.metadata.namespace}{"\t"}{.metadata.name}{"\t"}{.spec.containers[*].image}{"\t"}{.spec.containers[*].imagePullPolicy}{"\n"}{end}'

# 检查是否使用了 imagePullSecrets
kubectl get pods --all-namespaces -o json | jq '.items[] | select(.spec.imagePullSecrets == null) | .metadata.namespace + "/" + .metadata.name'

3.5 镜像运行时阶段风险

镜像启动后，风险从镜像本身转移到容器进程、文件系统和系统调用。运行时安全是最后一道防线。

3.6 全链路风险矩阵与巡检策略

将五个阶段的风险汇总，形成可操作的巡检矩阵，帮助团队快速定位安全水位短板。