1. 课程导论：云原生安全基线概念、审计日志聚合分析的重要性、课程目标与适用人群
1.1 云原生安全基线：定义与核心要素
云原生安全基线是面向容器、Kubernetes、微服务及声明式API环境的一组最低安全配置要求与合规阈值。它不同于传统主机的安全基线，其核心特征包括：
- 声明式策略：安全配置以YAML/JSON等声明式文件定义，纳入GitOps版本管理。
- 动态生效：基线随Pod、Service、Namespace的生命周期自动创建与销毁。
- 多维度覆盖：涵盖镜像签名、Pod安全上下文、网络策略、RBAC权限、Secret加密等层面。
| 维度 | 典型基线项 | 违反后果 |
|---|---|---|
| 镜像安全 | 禁止latest标签、强制镜像签名验证 | 运行未签名或恶意镜像 |
| Pod安全 | 禁止特权容器、只读根文件系统 | 容器逃逸、主机权限提升 |
| 网络策略 | 默认拒绝入站、最小暴露端口 | 横向移动、数据泄露 |
| RBAC | 最小权限原则、禁止cluster-admin滥用 | 未授权集群操作 |
| 数据保护 | Secret静态加密、TLS Ingress | 敏感凭证明文暴露 |
关键认知：云原生安全基线不是静态文档，而是与CI/CD流水线、审计日志、策略引擎联动的可执行合规契约。基线变更必须被记录、聚合、分析，才能形成闭环治理。
1.2 审计日志聚合分析：为什么至关重要
在Kubernetes集群中，每一次基线变更——无论是修改PodSecurityPolicy、调整NetworkPolicy，还是更新RBAC Role——都会在API Server审计日志中留下记录。然而，原始审计日志存在三大痛点：
- 海量噪音：一个中等规模集群每天产生数百万条审计日志，其中90%以上为常规操作。
- 分散异构：日志分散在控制平面、节点、容器运行时、网络插件等多个数据源，格式不统一。
- 上下文缺失：单条日志仅记录“谁、做了什么”，无法直接关联“基线版本变更前/后的差异”。
审计日志聚合分析的价值在于：
- 基线漂移检测：通过聚合分析，识别出与基线配置不符的变更操作。
- 合规证据链：将分散日志关联为完整的时间线，满足SOC2、PCI-DSS等审计要求。
- 自动化响应：聚合后的结构化数据可直接触发策略引擎回滚或告警。
实践建议：在聚合分析前，先定义基线变更的“黄金信号”——例如“PodSecurityPolicy从restricted改为privileged”或“ClusterRole新增了* verbs”。这些信号应作为聚合过滤器的第一级规则，大幅降低噪音。
1.3 课程目标与适用人群
本课程旨在帮助学员掌握从原始审计日志到自动化合规报告的全链路能力。完成本课程后，学员将能够：
- 设计并实施云原生安全基线的版本化存储与变更检测机制。
- 构建审计日志聚合管道，支持多集群、多数据源的统一分析。
- 编写策略即代码（Policy as Code）规则，自动判定基线合规状态。
- 生成面向CISO、审计师、SRE三种角色的差异化合规报告。
| 角色 | 核心痛点 | 课程收益 |
|---|---|---|
| 安全工程师 | 基线变更不可见、响应滞后 | 实时聚合告警 + 自动回滚策略 |
| DevSecOps工程师 | 审计日志与CI/CD割裂 | 将基线检查嵌入流水线门禁 |
| 合规审计师 | 证据链分散、手工取证耗时 | 一键生成可追溯的合规报告 |
| 平台架构师 | 多集群基线管理混乱 | 统一基线策略 + 跨集群审计视图 |
前置要求：学员需具备Kubernetes基础操作能力（kubectl、YAML编写），了解审计日志基本概念。本课程不涉及基础K8s安装，但会提供必要的审计日志样例与聚合工具配置模板。
1.4 课程知识体系概览
本课程共30章，按“基础→聚合→分析→报告”四阶段递进。以下为第一阶段（第1-5章）的知识结构：
课程交付物：每章配套可运行的代码/配置示例、审计日志样本数据集、以及一个持续更新的基线变更知识库。学员可在自己的K8s测试集群中直接复现本章聚合分析流程。