1. 课程导论：镜像安全的重要性、常见镜像安全威胁、课程目标与学习路径

1.1 为什么镜像安全是云原生的生命线

容器镜像不仅是应用交付的载体，更是整个云原生基础设施的信任锚点。一次镜像投毒攻击可能导致敏感数据泄露、供应链污染甚至整个集群沦陷。根据行业统计，超过 60% 的组织在生产环境中运行过包含已知高危漏洞的镜像，而镜像层中的恶意代码平均潜伏期超过 200 天。

1.2 常见镜像安全威胁全景

镜像安全威胁贯穿从开发到运行的整个生命周期。下表梳理了当前最典型的六类威胁及其影响面：

1.3 镜像安全故障的连锁反应

一次未受控的镜像安全事件会触发以下故障链：

1. 构建阶段：恶意依赖被引入基础镜像层。
2. 推送阶段：镜像被篡改或替换，原始签名失效。
3. 部署阶段：Kubernetes 拉取未经验证的镜像，启动恶意容器。
4. 运行阶段：容器内进程执行敏感操作，触发告警。
5. 回滚阶段：运维人员尝试回滚，但回滚目标镜像同样未经签名验证，导致二次污染。

1.4 课程目标：构建可验证的镜像回滚体系

本课程旨在帮助 DevOps 工程师、安全工程师和平台工程师掌握以下核心能力：

• 理解镜像签名与验证机制：深入 Cosign 的工作原理，包括密钥对生成、签名附着、验证策略。
• 设计安全回滚策略：在 Kubernetes 环境中实现“先验证、后回滚”的自动化流程。
• 集成故障排查工具链：结合 Falco、Trivy、Kyverno 等工具，构建从告警到回滚的闭环。
• 编写可复用的自动化脚本：使用 Shell、Python 和 CI/CD 管道实现签名验证与回滚的联动。

1.5 学习路径与章节地图

课程按“基础 → 策略 → 集成 → 实战”四阶段递进，共 30 章。下表展示了核心模块的映射关系：

1.6 预备知识与工具清单

开始本课程前，建议具备以下基础：

• 熟悉 Docker 镜像构建与推送流程。
• 了解 Kubernetes 基本概念（Pod、Deployment、Namespace）。
• 具备基本的 Linux 命令行操作能力。

课程中会频繁使用以下工具，建议提前安装：

# 安装 Cosign（Linux / macOS）
curl -O https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64
sudo mv cosign-linux-amd64 /usr/local/bin/cosign
sudo chmod +x /usr/local/bin/cosign

# 安装 Trivy
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sudo sh

# 验证安装
cosign version
trivy --version