2. 云原生安全基线概述：CIS基准、NIST框架、Kubernetes Pod安全标准、容器镜像安全基线
在云原生环境中，安全基线是合规性证明的“度量标尺”。没有统一的基线，安全审计将陷入“公说公有理”的混乱局面。本章聚焦四大核心基线体系：CIS基准（行业最佳实践）、NIST框架（风险管理标准）、Kubernetes Pod安全标准（运行时准入控制）以及容器镜像安全基线（供应链入口）。理解它们的定位与差异，是后续自动化生成合规证明的前提。
2.1 四大基线体系定位对比
下表从覆盖范围、管控粒度、合规驱动类型三个维度，快速建立全局认知：
| 基线体系 | 覆盖范围 | 管控粒度 | 合规驱动类型 |
|---|---|---|---|
| CIS基准 | 主机、K8s、Docker、云服务商 | 配置项级（如kubelet参数） | 行业最佳实践（Checklist驱动） |
| NIST框架 | 组织级安全风险与流程 | 控制域级（如访问控制、审计） | 风险管理（政策驱动） |
| K8s Pod安全标准 | Pod运行时安全上下文 | Pod规格级（特权、Capabilities） | 准入控制（策略驱动） |
| 容器镜像基线 | 镜像构建与仓库 | 软件包级（CVE、非必要组件） | 供应链安全（扫描驱动） |
实践提示：在自动化合规证明项目中，通常以CIS基准作为“技术检查清单”，以NIST框架作为“证据分类目录”，以Pod安全标准和镜像基线作为“运行时与构建时准入门禁”。四者互补而非互斥。
2.2 CIS基准：可操作的技术检查清单
CIS（Center for Internet Security）基准是目前云原生领域最广泛采用的配置基线。它针对每个组件（如Kubernetes、Docker、Linux主机）提供具体的检查项、评分标准和修复建议。
- 检查项结构：每个检查项包含编号、描述、审计步骤、修复步骤、影响评估。
- 评分机制：通过/失败/未适用，部分版本引入加权评分。
- 典型K8s检查项示例：确保kubelet启用TLS认证、禁止匿名请求、限制kubeconfig文件权限。
# CIS Kubernetes Benchmark 检查项示例（1.1.1）
# 确保API Server的--anonymous-auth参数设置为false
# 审计命令：
ps -ef | grep kube-apiserver | grep -v grep | grep -- '--anonymous-auth=false'
# 预期输出：包含--anonymous-auth=false
自动化陷阱：CIS基准版本迭代较快（如CIS K8s v1.24 vs v1.30），自动化脚本必须绑定版本号。合规证明中应明确标注“基于CIS Kubernetes Benchmark v1.8.0”，否则审计人员可能因版本不匹配而拒绝接受证据。
2.3 NIST框架：风险驱动的控制分类
NIST（National Institute of Standards and Technology）网络安全框架（CSF）提供五大核心功能：识别（Identify）、保护（Protect）、检测（Detect）、响应（Respond）、恢复（Recover）。在云原生场景中，NIST框架不直接定义“kubelet参数应该是什么”，而是定义“访问控制（AC）”“审计日志（AU）”等控制域，再由具体基线（如CIS）填充技术细节。
下图展示NIST框架与CIS基准在合规证明中的映射关系：
2.4 Kubernetes Pod安全标准（PSS）
Kubernetes官方定义的Pod安全标准（Pod Security Standards, PSS）分为三个等级，从宽松到严格：
- Privileged（特权级）：无限制，适用于系统级组件（如ingress-controller）。
- Baseline（基线级）：禁止已知特权升级，适用于大多数通用工作负载。
- Restricted（严格级）：强制最小权限，适用于高安全敏感应用（如金融交易）。
下表展示三个等级在关键安全上下文字段上的差异：
| 安全上下文字段 | Privileged | Baseline | Restricted |
|---|---|---|---|
privileged |
允许 | 禁止 | 禁止 |
hostPID / hostIPC |
允许 | 禁止 | 禁止 |
capabilities.add |
无限制 | 仅允许NET_BIND_SERVICE | 禁止添加任何capability |
runAsNonRoot |
不要求 | 不要求 | 必须为true |
seccompProfile |
未指定 | 未指定 | 必须为RuntimeDefault或Localhost |
自动化集成点：Pod安全标准可通过Pod Security Admission（内置准入控制器）或OPA/Gatekeeper（外部策略引擎）实施。合规证明生成时，需从集群中提取Pod的securityContext字段，与目标等级逐项比对，输出差异报告。
2.5 容器镜像安全基线
容器镜像安全基线关注构建时和仓库中的镜像风险。核心基线包括：
- 最小化基础镜像：使用scratch、alpine或distroless镜像，减少攻击面。
- 无CVE漏洞：通过Trivy、Grype等扫描器确保无已知高危漏洞。
- 非root运行：镜像内创建专用用户，禁止以root运行。
- 不可变标签：使用内容哈希（digest）而非可变标签（如latest）。
- 签名验证：使用cosign对镜像进行签名和验证。
下图展示镜像安全基线在CI/CD流水线中的嵌入位置：
2.6 基线选择策略与自动化切入点
在实际项目中，并非所有基线都需要100%覆盖。建议按以下优先级选择：
- 强制合规基线：如金融行业必须满足NIST 800-53或PCI DSS，此时NIST框架为顶层驱动。
- 行业最佳实践基线：CIS基准作为默认技术基线，覆盖K8s、Docker、主机。
- 运行时安全基线：Pod安全标准（Restricted等级）作为默认准入策略。
- 供应链安全基线：镜像扫描和签名作为CI/CD门禁。