2. 核心概念解析

在深入镜像供应链安全容量水位巡检之前，必须统一对六个核心概念的理解。这些概念构成了巡检策略的底层逻辑与度量基础，任何偏差都会导致基线失准或巡检失效。

2.1 镜像仓库 (Image Registry)

镜像仓库是存储、分发容器镜像的核心基础设施。它不仅是二进制文件的存储池，更是供应链安全策略的执行点。现代镜像仓库（如 Harbor、Docker Registry、Amazon ECR）通常集成以下安全能力：

• 镜像签名验证：确保镜像来源可信，未被篡改。
• 漏洞扫描：在推送或拉取时自动触发 CVE 检测。
• 访问控制：基于角色的权限管理，限制谁可以推送/拉取。
• 不可变标签：防止已发布的镜像标签被覆盖。

2.2 制品库 (Artifact Repository)

制品库是比镜像仓库更广义的概念，管理所有软件交付物：容器镜像、Helm Chart、JAR 包、NPM 包、Python Wheel 等。在供应链安全上下文中，制品库是“物料清单”的集中管控点。

2.3 供应链安全 (Supply Chain Security)

镜像供应链安全覆盖从代码提交、构建、镜像打包、制品存储、部署到运行时的全链路。核心威胁模型包括：

• 依赖投毒：上游基础镜像或第三方库被植入恶意代码。
• 镜像篡改：中间人攻击或仓库权限泄露导致镜像被替换。
• 漏洞传播：基础镜像中的已知漏洞被下游所有服务继承。
• 配置漂移：安全策略（如扫描阈值、签名要求）在制品流转过程中被绕过。

2.4 容量水位 (Capacity Watermark)

容量水位是衡量基础设施资源使用程度的量化指标，通常以百分比或值表示。在镜像供应链场景中，关键水位指标包括：

2.5 基线 (Baseline)

基线是经过验证的、可接受的容量与安全状态参考点。基线不是静态的，而是随着业务增长、架构演进、安全策略调整而周期性校准的“动态标尺”。

基线通常包含三个层次：

1. 容量基线：正常业务负载下的存储、QPS、扫描延迟的 P50/P95 值。
2. 安全基线：允许的最大漏洞严重等级、签名覆盖率、SBOM 生成率。
3. 合规基线：满足行业标准（如 SLSA、NIST SP 800-190）的最低要求。

2.6 巡检策略 (Inspection Strategy)

巡检策略是将基线转化为可执行检查动作的规则集合。一个完整的巡检策略包含：

• 巡检对象：哪些仓库、哪些制品、哪些指标。
• 巡检频率：实时、每小时、每日、每周。
• 触发条件：定时触发、事件驱动（如镜像推送）、水位告警联动。
• 动作定义：记录日志、发送告警、自动扩缩容、阻断不安全镜像。
• 基线比对：当前值与基线值的偏差计算与判定。

2.7 概念间的协同关系

六个概念并非孤立存在，而是形成闭环：

1. 镜像仓库 和 制品库 是巡检的“对象层”，提供原始数据。
2. 容量水位 是“度量层”，量化资源使用状态。
3. 基线 是“参考层”，定义可接受的范围。
4. 供应链安全 是“目标层”，驱动巡检的价值取向。
5. 巡检策略 是“执行层”，将上述四层串联为可操作的自动化流程。