1. 课程导论：Sandbox 治理与配置漂移审计的定义、课程目标与学习路径
1.1 什么是 Sandbox 治理？
Sandbox 治理是指在云原生环境中，对沙箱（Sandbox）的创建、运行、销毁全生命周期进行策略控制、资源隔离与合规审计的体系化实践。它确保每个沙箱实例在运行时遵循预定义的资源配额、网络策略、镜像来源和权限边界，防止恶意逃逸或配置滥用。
核心治理维度： 资源配额（CPU/内存/磁盘）、网络白名单、镜像签名验证、系统调用过滤（Seccomp）、文件系统只读挂载、Capability 降权。
1.2 配置漂移审计的定义
配置漂移（Configuration Drift）指沙箱运行时实际配置与初始声明配置（如 Kubernetes PodSpec、OCI Runtime Spec）之间的偏差。配置漂移审计即通过持续监控、记录和比对运行时状态，发现并告警非预期的配置变更，例如：
- 运行时挂载了未授权的宿主机路径
- 进程 Capability 被动态提升
- Seccomp 策略被绕过或降级
- 网络规则被篡改导致出站流量失控
| 概念 | 定义 | 典型风险 |
|---|---|---|
| Sandbox 治理 | 沙箱全生命周期的策略控制与合规管理 | 资源滥用、逃逸攻击、数据泄露 |
| 配置漂移审计 | 运行时配置与基线配置的偏差检测与记录 | 隐蔽后门、权限提升、持久化植入 |
1.3 课程目标
完成本课程后，学员将能够：
- 理解 Sandbox 运行时生命周期（创建→运行→暂停→销毁）中的关键配置点。
- 设计 基于 OCI Runtime Spec 和 Kubernetes PodSecurityContext 的配置基线。
- 实现 运行时配置漂移检测机制（基于 eBPF、Auditd、Kubernetes Admission Webhook）。
- 构建 可审计的 Sandbox 治理策略，满足 SOC2 / PCI-DSS / 等保 2.0 合规要求。
- 自动化 漂移修复与回滚流程，降低人工运维风险。
适用角色： 云原生安全工程师、SRE、Kubernetes 管理员、DevSecOps 从业者。
1.4 学习路径与章节地图
课程共 30 章，按“基础→检测→治理→自动化→合规”五阶段递进：
1.5 关键术语速查表
| 术语 | 缩写 | 说明 |
|---|---|---|
| Open Container Initiative | OCI | 容器运行时标准，定义 Runtime Spec 与 Image Spec |
| Secure Computing Mode | Seccomp | Linux 内核系统调用过滤机制 |
| Extended Berkeley Packet Filter | eBPF | 内核可编程观测与安全检测框架 |
| Admission Webhook | — | Kubernetes 资源创建/更新时的策略拦截点 |
| Configuration Drift | 漂移 | 运行时配置与基线配置的偏差 |
⚠️ 常见误区： 配置漂移审计 ≠ 漏洞扫描。漏洞扫描关注已知 CVE，漂移审计关注运行时配置的合规性偏差。两者互补，不可替代。