1. 课程导论：SBOM 定义与价值、云原生安全基线概念、冷启动与削峰场景、容量基线校准目标
本课程旨在建立一套以 SBOM 压测数据为驱动，动态校准云原生安全基线及容量基线的工程方法。导论部分将厘清四个核心概念，为后续章节的压测设计、数据采集与基线调整奠定理论基础。
1.1 SBOM 定义与价值
SBOM（Software Bill of Materials，软件物料清单） 是描述软件组件、依赖关系及元数据的机器可读清单。它类似于食品包装上的营养成分表，详细列出了软件“内部”的所有成分。
| 维度 | 说明 |
|---|---|
| 定义 | 一份正式的、机器可读的清单，包含构建软件所用的所有组件、库、模块及版本信息。 |
| 核心字段 | 组件名称、版本号、供应商、许可证类型、依赖关系哈希值（如 SHA-256）。 |
| 格式标准 | SPDX（ISO/IEC 5962）、CycloneDX（OWASP）、SWID（ISO/IEC 19770-2）。 |
| 安全价值 | 快速定位已知漏洞（CVE）、识别许可证合规风险、支持供应链攻击溯源。 |
| 运维价值 | 精确计算组件变更影响范围、自动化策略准入（如禁止高危组件上线）。 |
关键认知： SBOM 不是静态文档，而是随软件构建、部署、运行持续演进的动态资产。在云原生环境中，容器镜像的每一层、每个基础镜像版本变更都应触发 SBOM 的更新。
1.2 云原生安全基线概念
云原生安全基线 是指在云原生架构（容器、Kubernetes、微服务、不可变基础设施）中，为保障系统安全而设定的最低可接受安全状态与配置标准。它不是静态的，而是随威胁态势、业务变化和组件版本动态调整。
- 配置基线： 如 Pod 安全策略（PSP/PSS）、Seccomp 配置、只读根文件系统、非 root 用户运行。
- 漏洞基线： 基于 SBOM 扫描结果，定义不同严重级别漏洞的允许阈值（如：不允许存在 Critical 级别 CVE）。
- 行为基线： 基于运行时行为分析，定义进程白名单、网络连接模式、文件访问模式。
- 依赖基线： 基于 SBOM 中的依赖关系，定义允许/禁止的组件版本范围及许可证类型。
常见误区： 安全基线不是“一次设定、永久有效”。当 SBOM 中新增组件或组件版本更新时，原有基线可能不再适用，必须通过压测数据重新校准。
1.3 冷启动与削峰场景
在云原生环境中，冷启动 和 削峰 是两个对系统稳定性与安全基线产生显著压力的典型场景。
| 场景 | 定义 | 对安全基线的影响 | 对容量基线的影响 |
|---|---|---|---|
| 冷启动 | 服务从零开始初始化，包括拉取镜像、创建容器、加载配置、建立连接池等。 | 镜像拉取过程中 SBOM 尚未就绪，安全策略可能被绕过；初始化阶段资源竞争可能导致安全组件（如 Sidecar 代理）启动延迟。 | 初始资源需求远高于稳态，CPU 和内存峰值可能达到稳态的 2-5 倍。 |
| 削峰 | 业务流量突发增长（如秒杀、大促），系统自动或手动进行弹性扩缩容。 | 快速扩容时，新 Pod 的 SBOM 验证可能成为瓶颈；安全策略下发延迟可能导致新实例处于“裸奔”状态。 | 扩容速度与资源供给的匹配度决定削峰成功率，容量基线需覆盖突发峰值。 |
1.4 容量基线校准目标
容量基线校准 的目标是通过系统化的压测数据，建立并持续修正云原生服务在不同负载模式下的资源需求模型，确保安全组件与业务服务在冷启动和削峰场景下均能获得足够的资源保障。
- 确定安全组件资源开销： 量化 Sidecar 代理、策略引擎、SBOM 验证服务等安全组件的 CPU、内存、网络开销。
- 建立冷启动资源模型： 测量从 Pod 创建到 Ready 状态的全过程资源消耗曲线，识别资源峰值窗口。
- 定义削峰弹性阈值： 基于压测数据，设定触发扩容的 CPU/内存水位线、扩容步长、冷却时间。
- 验证安全基线可执行性： 在压测过程中同步验证安全策略是否被正确应用，是否存在因资源不足导致的策略失效。
- 形成闭环校准流程： 将压测数据反馈至基线配置，实现“压测 → 分析 → 调整 → 再压测”的持续优化循环。
核心公式： 容量基线 = f(SBOM 组件开销, 冷启动峰值系数, 削峰弹性余量, 安全策略执行开销)。其中，SBOM 组件开销是输入变量，冷启动峰值系数和削峰弹性余量由压测数据驱动校准。
通过本课程的学习，你将掌握如何利用 SBOM 压测数据，在冷启动和削峰场景下，科学地校准云原生安全基线与容量基线，实现安全与效率的平衡。