Sigstore供应链签名安全监控与告警 - 第3节

告警在 Sigstore 安全生态中的角色

Sigstore 的核心使命是构建“默认安全”的软件供应链签名基础设施。然而，任何安全系统都无法保证 100% 无故障运行。告警机制在 Sigstore 生态中扮演着“安全哨兵”的角色，它连接了底层安全事件与上层运维响应，是保障签名链可信度的关键防线。

告警的三大核心角色

告警在 Sigstore 架构中的位置

下图展示了告警系统如何嵌入 Sigstore 的核心组件（Fulcio CA、Rekor 透明日志、Cosign 客户端）之间，形成闭环监控。

告警类型概览

Sigstore 告警体系按触发源和影响范围可分为五大类。理解这些类型是制定告警策略的基础。

五大告警类型

告警严重级别定义

• Critical（严重）： 直接影响签名链可信度或可用性，需要立即响应。例如：证书吊销、验证失败率超过 20%。
• Warning（警告）： 可能发展为严重问题，需要计划性处理。例如：证书剩余有效期不足 7 天、OIDC 提供者间歇性不可达。
• Info（信息）： 常规状态变更或低风险事件，用于审计和趋势分析。例如：新证书签发成功、Rekor 日志条目追加完成。

告警类型与 Sigstore 组件的映射关系

下表展示了每种告警类型主要关联的 Sigstore 组件，帮助你在配置监控时快速定位目标。

告警生命周期

一个完整的告警从产生到关闭通常经历以下阶段，理解这个流程有助于设计告警处理策略。

告警配置示例（Prometheus 规则）

以下是一个针对证书过期告警的 Prometheus 告警规则示例，展示了如何将告警类型映射为可执行的监控配置。

groups:
  - name: sigstore_certificate_alerts
    rules:
      - alert: FulcioCertificateExpiringSoon
        expr: |
          fulcio_certificate_expiry_seconds < 604800
        for: 5m
        labels:
          severity: warning
          team: security
        annotations:
          summary: "Fulcio 证书将在 7 天内过期"
          description: "证书 {{ $labels.certificate_id }} 剩余有效期 {{ $value | humanizeDuration }}"
          
      - alert: CosignVerificationFailureRateHigh
        expr: |
          rate(cosign_verification_failures_total[5m]) / rate(cosign_verification_total[5m]) > 0.2
        for: 2m
        labels:
          severity: critical
          team: security
        annotations:
          summary: "Cosign 验证失败率超过 20%"
          description: "当前失败率 {{ $value | humanizePercentage }}"