📚 课程目录第4章镜像验证策略

4. 指标分类基础：安全指标、合规指标、性能指标、可用性指标

在构建镜像供应链安全晋级通道时，指标是衡量当前安全水位、驱动持续改进的核心数据资产。Sigstore 生态下的指标并非单一维度的“安全分数”，而是需要从安全、合规、性能、可用性四个维度进行分层定义。只有建立清晰的指标分类体系，才能为后续的告警分层和响应策略提供可靠依据。

核心认知： 四类指标共同构成镜像供应链的“健康仪表盘”。安全指标回答“是否被攻击”，合规指标回答“是否满足标准”，性能指标回答“是否够快”，可用性指标回答“是否可靠”。缺少任何一类，告警体系都会出现盲区。

下表从定义、关注焦点、典型数据来源三个维度，对四类指标进行横向对比，帮助团队快速建立分类共识。

指标类别	定义	关注焦点	典型数据来源
安全指标	衡量镜像及供应链环节中已知漏洞、恶意行为、签名伪造等安全风险的状态	漏洞严重性、攻击路径、威胁活跃度	Trivy/Grype 扫描、Sigstore 验证日志、Falco 运行时告警
合规指标	衡量镜像是否满足组织策略、行业标准（如 SLSA、SSDF）及法规要求	策略符合率、签名覆盖率、SBOM 完整性	OPA 策略引擎、Rekor 透明度日志、Kyverno 准入控制
性能指标	衡量签名、验证、分发等供应链操作的时间开销和资源消耗	延迟、吞吐量、资源利用率	Cosign 签名耗时、Fulcio 证书签发延迟、镜像拉取速率
可用性指标	衡量 Sigstore 服务及依赖组件的服务连续性和可访问性	服务可用率、错误率、恢复时间	Fulcio/Rekor 健康检查端点、TUF 元数据更新状态

安全指标是告警体系的第一道防线，直接反映镜像是否处于被攻击或已受损的状态。在 Sigstore 场景下，安全指标需要覆盖签名验证失败、已知漏洞和异常行为三个子维度。

签名验证失败率： 镜像签名与公钥不匹配、证书链断裂、时间戳超期等导致的验证失败次数。该指标直接反映供应链完整性是否被破坏。
高危/严重漏洞密度： 每镜像层中 CVSS 评分 ≥ 7.0 的漏洞数量。结合 Sigstore 的 attestation 可追溯漏洞引入的构建阶段。
恶意包检出数： 通过 Sigstore 的信任根与已知恶意包哈希库交叉比对，检出的投毒或后门组件数量。
密钥泄露事件数： 私钥被意外提交、日志泄露或轮换超期导致的签名信任根受损事件。

  实践建议： 安全指标应优先设置“零容忍”告警阈值。例如，签名验证失败率 > 0% 即触发 P0 级告警，因为一次失败可能意味着镜像已被篡改。

合规指标确保镜像供应链的操作符合组织内部策略和外部监管要求。在晋级通道中，合规指标是“准入门槛”，不达标则无法进入下一安全等级。

常见误区： 合规指标不等于安全指标。一个镜像可能 100% 合规（签名、SBOM 齐全），但仍包含高危漏洞。合规指标反映的是“流程执行度”，而非“风险暴露度”。

性能指标直接影响开发体验和 CI/CD 流水线效率。如果签名或验证过程耗时过长，团队可能会绕过安全流程，导致安全防线形同虚设。

可用性指标关注 Sigstore 基础设施的稳定性。由于 Sigstore 是分布式信任模型，Fulcio、Rekor、CTlog 等组件的可用性直接影响整个供应链的验证能力。

四类指标并非孤立存在，它们之间存在明确的依赖和驱动关系。下图展示了指标分类的基础架构以及告警分层的触发逻辑。

在团队开始采集指标之前，建议使用以下清单进行自检，确保分类体系覆盖完整且无重叠。