1. 课程导论：云原生安全挑战、基线变更监控的重要性、课程目标与受众
1.1 云原生环境下的安全挑战
云原生架构（容器、Kubernetes、微服务、不可变基础设施）在带来弹性与交付效率的同时，也从根本上改变了安全边界。传统基于物理/虚拟化边界的安全模型失效，新的攻击面不断涌现。
核心矛盾： 动态基础设施 + 频繁变更 + 声明式配置 = 安全基线持续漂移。每一次
kubectl apply、Helm 升级、ConfigMap 更新，都可能引入合规风险。
以下是云原生环境特有的五大安全挑战：
| 挑战维度 | 具体风险 | 传统方案失效原因 |
|---|---|---|
| 配置漂移 | Pod 特权提升、hostNetwork 暴露、容器以 root 运行 | 手动巡检跟不上分钟级的变更频率 |
| 供应链攻击 | 镜像漏洞、恶意 Helm Chart、第三方 Operator 后门 | 缺乏运行时准入控制与持续扫描 |
| 身份与访问失控 | RBAC 过度授权、ServiceAccount 滥用、匿名绑定 | 静态权限审计无法感知动态绑定 |
| 网络策略缺失 | 默认全通网络、东西向流量无隔离 | 传统防火墙无法感知容器 IP 动态变化 |
| 合规审计滞后 | PCI-DSS、SOC2、等保 2.0 要求持续合规 | 季度审计报告无法覆盖日间变更 |
1.2 基线变更监控的重要性
安全基线是云原生环境的最小安全配置集合。基线变更监控的核心价值在于：从“事后审计”转向“实时感知与阻断”。
一句话定义： 基线变更监控 = 持续检测 Kubernetes/容器平台上的安全配置变化，并与预定义合规策略进行实时比对，在违规变更生效前或生效后立即告警。
基线变更监控的三大业务价值：
- 缩短合规差距时间窗口： 将合规检查从“季度/月度”缩短至“秒级/分钟级”。
- 降低攻击者驻留时间： 攻击者常通过修改 RBAC、创建特权 Pod 来横向移动，实时监控可快速发现异常配置。
- 支撑 DevSecOps 左移： 在 CI/CD 流水线中嵌入基线检查，实现“不合规不放行”。
1.3 课程目标与受众
本课程旨在帮助安全工程师、平台工程师、DevOps 工程师掌握一套完整的云原生安全基线变更监控体系，从工具选型到策略编写，再到告警响应。
重要提示： 本课程不是纯理论课。每一章都包含可运行的配置示例、策略代码片段和告警规则模板。建议跟随实操。
课程三大目标
| 目标编号 | 目标描述 | 交付物 |
|---|---|---|
| 目标 1 | 理解云原生安全基线的定义、分类与常见标准（CIS Benchmark、NSA/Kubernetes Hardening Guide） | 基线分类思维导图 + 策略模板 |
| 目标 2 | 搭建基于 Falco + OPA/Gatekeeper + Kubernetes Audit Log 的实时监控栈 | 可部署的 Helm Chart + 告警规则集 |
| 目标 3 | 设计告警分级、通知路由与自动化响应（阻断/隔离/自动修复） | 告警策略 YAML + Webhook 集成示例 |
目标受众
- 安全工程师（SecOps）： 需要将安全策略落地到 Kubernetes 集群，并建立持续监控能力。
- 平台/基础设施工程师（Platform/Infra）： 负责集群运维，需要确保集群配置符合安全基线。
- DevOps / DevSecOps 工程师： 希望在 CI/CD 流水线中嵌入安全门禁，实现“安全左移”。
- 合规与审计人员： 需要理解技术实现，以便制定可落地的合规策略。
前置知识要求
| 技能领域 | 要求等级 | 说明 |
|---|---|---|
| Kubernetes 基础操作 | 中级 | 熟悉 Pod、Deployment、Service、RBAC、ConfigMap 等核心资源 |
| Linux 命令行 | 基础 | 能执行基本 shell 命令，理解进程、文件权限概念 |
| YAML 编写 | 基础 | 能阅读和编写 Kubernetes 资源 YAML |
| 安全基础概念 | 基础 | 了解 CIA 三元组、最小权限原则、攻击链模型 |
课程节奏： 前 5 章为基础概念与工具安装，中间 15 章为策略编写与监控搭建，最后 10 章为告警优化、自动化响应与生产案例。每章均配有可复用的代码仓库。