1. 课程导论：云原生安全基线的重要性、不可篡改日志的核心价值、课程目标与学习路径
1.1 云原生安全基线：从“边界防御”到“零信任基座”
在传统 IT 架构中，安全基线通常依赖物理网络边界和静态资产清单。然而，云原生环境具有动态扩缩、基础设施即代码（IaC）、微服务频繁迭代等特征，使得静态基线迅速失效。云原生安全基线是一组针对容器镜像、Kubernetes 集群、服务网格、CI/CD 流水线及运行时环境的最低安全配置标准，它定义了“什么是可接受的默认安全状态”。
核心转变： 安全基线从“一次性的合规检查清单”进化为“持续验证的运行时契约”。任何偏离基线的变更都必须被记录、告警并纳入审计。
下表对比了传统安全基线与现代云原生安全基线的关键差异：
| 维度 | 传统安全基线 | 云原生安全基线 |
|---|---|---|
| 对象 | 物理服务器、网络设备、OS 配置 | 容器镜像、Pod、K8s RBAC、网络策略、IaC 模板 |
| 生命周期 | 季度/年度审查，变更后手动更新 | 持续集成/持续部署（CI/CD）门禁，实时漂移检测 |
| 验证方式 | 人工巡检 + 扫描工具 | 策略即代码（Policy-as-Code）+ 准入控制器 + 运行时审计 |
| 变更记录 | Syslog 或 Excel 台账 | 结构化、不可篡改、可验证的日志链 |
1.2 不可篡改日志的核心价值：从“可审计”到“可证明”
云原生环境中的安全基线变更（如 RBAC 权限提升、Pod 安全策略放宽、镜像仓库标签篡改）一旦发生，传统日志系统面临三大致命缺陷：日志可被篡改、日志可被删除、日志时间线可被伪造。不可篡改日志（Immutable Log）通过密码学哈希链、分布式共识或硬件信任根，确保每一条基线变更记录一旦写入便无法被追溯修改或删除。
核心价值公式： 不可篡改日志 = 密码学完整性 + 时间戳公证 + 可独立验证。它使得安全审计从“相信系统管理员”转变为“相信数学证明”。
不可篡改日志在云原生安全基线管理中的三大核心价值：
- 证据链完整性： 任何基线漂移（Drift）从发生、检测到响应，形成一条完整的、可追溯的哈希链，满足 SOC2、PCI-DSS、GDPR 等合规要求。
- 抗抵赖性： 操作者无法否认其发起的基线变更行为，因为日志条目包含其身份签名和变更内容的哈希摘要。
- 故障根因分析： 当集群出现安全事件时，不可篡改日志提供唯一可信的“时间机器”，帮助安全团队精确还原基线变更序列，定位引入漏洞的变更点。
1.3 课程目标与学习路径
本课程旨在培养学员构建自动化证据链生成系统的能力，使云原生安全基线变更的日志具备“写入即存证、存证即不可篡改、不可篡改即可审计”的特性。课程覆盖从理论到工程落地的完整闭环。
前置要求： 学员需具备 Kubernetes 基础操作、Linux 命令行、基本密码学概念（哈希函数、数字签名）。了解 CI/CD 流程（如 GitLab CI、GitHub Actions）将有助于理解集成部分。
课程学习路径分为四个阶段，每个阶段对应一个核心能力模块：
| 阶段 | 核心主题 | 关键产出 |
|---|---|---|
| 阶段 1：基础与设计 | 云原生安全基线模型、不可篡改日志密码学原语、威胁模型分析 | 基线变更事件的数据模型设计文档 |
| 阶段 2：日志采集与链式存储 | K8s 审计日志采集、eBPF 运行时事件捕获、哈希链本地存储引擎 | 可运行的日志采集 Agent + 链式存储模块 |
| 阶段 3：共识与远程公证 | Raft 共识日志、TLS 公证服务、分布式不可篡改日志集群 | 多节点日志共识网络 + 远程验证 API |
| 阶段 4：集成与自动化证据链 | 与 CI/CD 门禁集成、Prometheus 告警联动、合规报告自动生成 | 端到端自动化证据链系统 + 演示 Demo |
1.4 为什么选择这门课程？
- 实战驱动： 每阶段均提供可运行的代码示例（Go/Rust + Kubernetes Operator），而非纯理论讲解。
- 密码学深度： 深入 Merkle 树、哈希链、数字签名在日志审计中的具体实现，而非泛泛而谈“区块链”。
- 云原生原生集成： 日志采集基于 Kubernetes Audit Policy 和 eBPF，存储层兼容 CSI 卷和对象存储，不依赖外部数据库。
- 合规对齐： 课程产出直接对标 SOC2 日志监控、PCI-DSS 10.2 审计追踪、FedRAMP 持续监控要求。
学习建议： 建议学员在本地或云上准备一个 3 节点 K8s 集群（可使用 Kind 或 Minikube），并安装 Go 1.21+ 开发环境。每阶段结束后，完成对应的实验练习以巩固理解。