1. 云原生安全基线概述
1.1 云原生安全基线的定义
云原生安全基线（Cloud-Native Security Baseline）是指在云原生架构（容器、微服务、服务网格、不可变基础设施、声明式 API）下，为保障系统从构建、部署到运行时的全生命周期安全，所定义的一组最低限度的、可度量的安全配置与行为规范集合。它既是安全合规的“及格线”，也是自动化安全策略执行的基准参照。
核心特征： 声明式、可编程、可审计、与环境无关（Platform-agnostic）。
1.2 为什么需要云原生安全基线
在云原生环境中，基础设施的弹性扩缩、服务的频繁迭代、以及多租户的混合部署，使得传统基于边界防护的安全模型失效。安全基线的作用体现在以下三个层面：
- 降低攻击面： 通过最小权限原则、镜像扫描、运行时只读文件系统等基线规则，从源头减少漏洞暴露。
- 保障合规性： 满足 PCI-DSS、GDPR、等保 2.0 等监管要求，提供可追溯的审计证据。
- 支撑自动化： 将安全策略嵌入 CI/CD 流水线，实现“安全左移”，在构建阶段即阻断不合规配置。
1.3 与传统安全基线的区别
传统安全基线（如 CIS Benchmark for OS、网络防火墙规则）主要面向静态的物理机或虚拟机环境，而云原生安全基线必须适应动态、临时、不可变的基础设施。下表从多个维度进行对比：
| 对比维度 | 传统安全基线 | 云原生安全基线 |
|---|---|---|
| 基础设施形态 | 静态 IP、持久化存储、固定网络拓扑 | 动态 Pod、临时容器、服务网格、Overlay 网络 |
| 配置生效方式 | 手动或脚本批量下发，重启生效 | 声明式 API（如 PodSecurityPolicy、OPA Gatekeeper），实时准入控制 |
| 生命周期 | 长周期（月/年），补丁式更新 | 短周期（秒/分），随应用版本迭代自动更新 |
| 审计粒度 | 操作系统日志、网络流日志 | Kubernetes 审计日志、容器运行时日志、Sidecar 代理日志 |
| 策略执行点 | 边界防火墙、主机 HIDS | 准入控制器（Admission Controller）、Sidecar、eBPF 探针 |
| 典型标准 | CIS OS Benchmark、ISO 27001 | CIS Kubernetes Benchmark、NSA/CISA Kubernetes Hardening Guide |
关键认知： 云原生安全基线不是对传统基线的否定，而是在其基础上增加了“动态性”和“可编程性”两个维度。例如，传统基线要求“禁止 root 登录”，云原生基线则要求“容器运行时必须使用非 root 用户，且通过 SecurityContext 声明”。
1.4 云原生安全基线的核心领域
一个完整的云原生安全基线通常覆盖以下四个领域，它们共同构成了“纵深防御”的基线框架：
- 镜像与供应链安全： 基础镜像最小化、漏洞扫描、签名验证（Cosign）、SBOM 生成。
- 容器运行时安全： 只读根文件系统、禁用特权容器、Seccomp/AppArmor 配置、资源限制。
- Kubernetes 集群安全： RBAC 最小权限、网络策略（NetworkPolicy）、Pod 安全标准（Restricted）、Secret 加密。
- 数据与传输安全： mTLS 双向认证、数据加密（At-rest & In-transit）、密钥轮换策略。
1.5 基线在冷启动场景中的特殊意义
在“冷启动数据传输优化”这一课程主题下，安全基线扮演着双重角色：
- 约束条件： 基线规定了数据传输必须满足的加密、认证、最小权限等安全要求，这些要求直接影响传输协议的选择和握手开销。
- 优化对象： 传统基线在冷启动时可能引入过多的安全检查（如重复的 TLS 握手、多次策略评估），导致延迟增加。因此，本课程后续将探讨如何在满足基线要求的前提下，通过预建立安全上下文、连接复用、策略缓存等手段降低冷启动延迟。
注意： 安全基线不是“越严格越好”。过度严格的安全策略可能导致冷启动时间增加 300% 以上，反而降低系统可用性。性能调优的本质是在安全基线允许的范围内，寻找延迟与安全性的最优平衡点。