2. 云原生安全基线概念：什么是安全基线、基线在Kubernetes中的体现、CIS Benchmark简介
2.1 什么是安全基线
安全基线（Security Baseline）是指为保障信息系统基本安全而设定的一组最低安全配置要求。它定义了系统、组件或服务在默认状态下必须满足的安全控制项，是安全合规的“及格线”。
在云原生环境中，安全基线不再局限于单台主机的加固，而是覆盖了从容器镜像、编排平台到微服务通信的整个技术栈。其核心特征包括：
- 可量化：每一项配置都有明确的检查标准（如“必须启用审计日志”）。
- 可自动化：通过工具（如 kube-bench、kube-hunter）进行持续扫描。
- 可追溯：基线变更应记录在案，并与告警联动。
实践要点：安全基线不是一成不变的。随着业务迭代、漏洞披露和合规要求更新，基线需要定期评审和调整。建议将基线版本化（如 v1.0、v1.1），并与 CI/CD 流水线中的策略即代码（Policy as Code）结合。
2.2 基线在 Kubernetes 中的体现
Kubernetes 作为云原生编排的核心，其安全基线体现在以下四个关键层面：
| 层面 | 典型基线项 | 风险说明 |
|---|---|---|
| 控制平面 | API Server 匿名请求禁用、etcd 加密、kube-controller-manager 绑定地址限制 | 未授权访问导致集群接管 |
| 工作节点 | kubelet 认证模式、容器运行时非 root、Seccomp 配置 | 节点逃逸或权限提升 |
| Pod 安全 | 禁止特权容器、只读根文件系统、限制 capabilities | 容器内恶意行为扩散 |
| 网络策略 | 默认拒绝入站、最小化暴露端口、加密 Ingress | 东西向流量横向移动 |
以下 SVG 展示了 Kubernetes 安全基线的分层模型，从底层基础设施到上层应用策略的逐级加固关系：
关键洞察：基线变更最常发生在工作负载层和策略层。例如，开发团队为调试临时开放特权容器，或运维人员修改网络策略白名单——这些变更如果没有实时监控，极易成为攻击入口。
2.3 CIS Benchmark 简介
CIS（Center for Internet Security）Benchmark 是全球公认的安全配置最佳实践标准。针对 Kubernetes，CIS 发布了专门的 CIS Kubernetes Benchmark，目前最新版本为 v1.8.0（对应 Kubernetes 1.26+）。
CIS Benchmark 的核心结构如下：
- 章节划分：按组件分为 1-控制平面、2-工作节点、3-控制平面配置、4-Pod 安全策略、5-日志与监控等。
- 检查项编号：如
1.1.1（确保 API Server 的匿名请求被禁用）、4.2.1（确保 Pod 安全策略禁止特权容器）。 - 评分机制：每项检查标记为 PASS / FAIL / WARN，最终计算合规率。
以下表格对比了 CIS Benchmark 中几个高频检查项及其在实时监控中的告警优先级：
| CIS 编号 | 检查项描述 | 告警优先级 | 典型变更场景 |
|---|---|---|---|
| 1.1.1 | 禁用 API Server 匿名请求 | 严重 | 运维人员临时开启匿名调试 |
| 1.2.2 | etcd 启用 TLS 加密 | 严重 | 证书过期后降级为 HTTP |
| 4.1.1 | 禁止容器以 root 运行 | 高 | 开发镜像未指定 runAsNonRoot |
| 5.1.1 | 启用审计日志 | 中 | 审计策略被误删除 |
下面的 SVG 展示了 CIS Kubernetes Benchmark 的检查项分类与实时监控的映射关系：
注意：CIS Benchmark 是静态基线，而云原生环境是动态的。单纯依赖定期扫描（如每天一次）无法捕获短时间内的配置回退。本课程后续将重点讲解如何通过事件驱动（如 Kubernetes Audit Log + Falco）实现基线变更的秒级实时告警。
2.4 基线变更的典型风险场景
理解基线概念后，我们列举三个在真实生产环境中频繁发生的基线变更风险场景：
- 临时调试导致配置漂移：运维人员为排查问题，临时将 kubelet 的
--anonymous-auth改为true，事后忘记恢复。 - 镜像更新引入特权容器：开发团队推送新版本镜像时，未注意 Dockerfile 中包含了
privileged: true，导致 Pod 安全基线被突破。 - 网络策略误删除：使用 kubectl delete networkpolicy 误删了关键隔离策略，东西向流量失去控制。
这些场景的共同特点是：变更发生迅速、影响范围广、传统人工巡检无法及时发现。这正是本课程要解决的痛点——通过自动化工具链实现基线变更的实时监控与告警。