1. 课程导论：镜像安全面临的挑战、Cosign在供应链安全中的定位、课程目标与学习路径
1.1 镜像安全：云原生时代的“隐形战场”
容器镜像已成为云原生应用交付的核心载体。然而，镜像供应链正面临前所未有的安全挑战。一次简单的 docker pull 背后，可能隐藏着从开发到部署全链路的攻击面。
核心痛点：传统镜像安全仅关注“已知漏洞扫描”，但无法防御“恶意注入”、“篡改”、“依赖混淆”等供应链攻击。镜像的完整性、来源可信度、以及运行时容量风险，已成为安全水位巡检的盲区。
当前镜像安全面临的主要挑战可归纳为以下四个维度：
| 挑战维度 | 具体风险描述 | 传统方案局限 |
|---|---|---|
| 完整性缺失 | 镜像在构建、传输、存储过程中被篡改，植入后门或恶意代码 | 仅依赖 TLS 传输加密，无法验证镜像内容是否被篡改 |
| 来源不可信 | 从非官方或匿名仓库拉取镜像，无法确认发布者身份 | 无签名验证机制，依赖人工审核仓库地址 |
| 依赖混淆 | 攻击者上传同名恶意包到公共仓库，被构建流水线错误引用 | SBOM 生成滞后，缺乏实时准入控制 |
| 容量失控 | 镜像层数膨胀、基础镜像过大、构建产物冗余，导致存储与带宽成本激增 | 缺乏自动化阈值建模与巡检策略 |
1.2 Cosign 在供应链安全中的定位
Cosign 是 Sigstore 项目下的无密钥签名工具，专注于容器镜像的签名、验证和存储。它在软件供应链安全（SLSA）框架中扮演“完整性验证”与“来源认证”的关键角色。
关键认知：Cosign 不是漏洞扫描器，而是“信任锚点”。它解决的是“这个镜像是否来自我信任的发布者？是否被篡改过？”的问题。本课程将在此基础上，叠加容量阈值建模，形成安全+成本的双重巡检能力。
1.3 课程目标与学习路径
本课程旨在帮助 DevSecOps 工程师构建一套可落地、可自动化、可度量的镜像安全水位巡检体系，并建立基于容量数据的阈值建模能力。
课程三大目标
- 目标一：掌握 Cosign 签名与验证 —— 能够独立完成镜像签名、验证、以及 CI/CD 流水线集成。
- 目标二：构建安全水位巡检策略 —— 设计覆盖完整性、来源、漏洞、容量的巡检规则，并实现自动化告警。
- 目标三：建立容量阈值模型 —— 基于历史数据与业务特征，对镜像层数、大小、构建频率等指标进行建模与预警。
学习路径与章节映射
| 阶段 | 章节范围 | 核心产出 |
|---|---|---|
| 基础篇 | 第 1-5 章 | 理解镜像安全挑战，掌握 Cosign 安装与基本签名操作 |
| 进阶篇 | 第 6-15 章 | 实现 CI/CD 集成、策略引擎对接、多仓库签名管理 |
| 巡检篇 | 第 16-22 章 | 设计水位巡检框架，开发自定义巡检插件 |
| 建模篇 | 第 23-28 章 | 容量数据采集、阈值建模、异常检测与告警 |
| 实战篇 | 第 29-30 章 | 综合案例：从零搭建企业级镜像安全巡检平台 |
1.4 课程前置要求与工具准备
前置知识：建议学员具备 Docker 基础操作、Kubernetes 基本概念、以及 CI/CD 流水线（如 GitLab CI / GitHub Actions）的使用经验。无需精通密码学。
课程实验环境推荐配置：
- 操作系统：Linux（Ubuntu 22.04+）或 macOS
- 容器运行时：Docker 20.10+ 或 containerd
- Cosign 版本：v2.x（本课程基于 v2.2+ 编写）
- 可选工具：Kyverno / OPA、Prometheus + Grafana（用于巡检与建模可视化）
现在，让我们正式开启镜像安全水位巡检与容量阈值建模的实践之旅。