云计算已成为数字化转型的默认基础设施。NIST SP 800-145（2011年发布）定义了IaaS/PaaS/SaaS三大服务模式与公有云、私有云、社区云、混合云四大部署模式，"共享责任模型"由此成为云安全的第一性原则——责任边界随服务模式的每一次选择而改变。容器、Kubernetes与Serverless构成的云原生技术栈在极大释放生产力的同时，将攻击面从虚拟机操作系统层压缩重构至镜像、编排控制面与函数事件链；SolarWinds（2020年）、Log4Shell（2021年）等供应链事件则证明：云安全的本质正在与软件供应链安全深度合流。本课题围绕云安全架构与共享责任、容器与Kubernetes安全、云原生供应链、Serverless安全、多云统一防护、云安全合规评估六大方向展开研究，构建覆盖"IaaS—PaaS—SaaS—云原生"全栈的云安全防护体系。
上云不等于安全责任的转移，而是安全责任的重构。云环境的弹性、按需与多租户特性，使传统以网络边界为中心的防御方法论全面失效，安全研究必须在共享责任、云原生架构与供应链三个维度上同步重建。
NIST SP 800-145确立的服务模式划分直接决定安全责任边界：IaaS下用户负责操作系统及以上全部栈层，SaaS下大部分责任上移至云服务商，PaaS介于两者之间。责任认知错位——尤其是误配置导致的对象存储公开访问、IAM权限过度授予——至今仍是云环境数据泄露的首要根因类别。CSA云计算安全技术要求与云安全联盟持续更新的Top Threats报告均将"配置错误与变更控制不足"列为顶级云威胁。
以容器与Kubernetes为代表的云原生架构将攻击面集中重构于三处：编排控制面（API Server、etcd、kubelet等组件的高危接口）、镜像与运行时（镜像投毒、容器逃逸、运行时篡改）以及微服务东西向流量（默认放行的Pod间通信）。Kubernetes官方安全文档、CIS Kubernetes Benchmark与CVE档案（如CVE-2018-1002105 Kubernetes API Server提权漏洞、CVE-2024-21626 runc容器逃逸漏洞）共同构成了云原生攻防研究的知识底座。
现代应用平均依赖成百上千个开源组件，云原生的构建-分发-运行链路使供应链成为最高效的规模化攻击入口：SolarWinds事件（2020年披露，涉及其Orion软件约1.8万家客户）、Log4Shell漏洞（CVE-2021-44228，CVSS评分10.0，影响范围以亿计）、CI/CD凭证泄露事件反复验证这一点。SBOM（软件物料清单，SPDX与CycloneDX两大格式）、SLSA框架、sigstore/cosign镜像签名与NIST SSDF（SP 800-218）共同构成供应链安全的方法论体系。
中国已建立较为完整的云上合规体系：网络安全等级保护制度2.0（GB/T 22239-2019，2019年12月1日实施）设云计算安全扩展要求；《云计算服务安全评估办法》（国家网信办等四部门2019年发布，2019年9月1日施行）确立党政机关、关键信息基础设施运营者采购云计算服务的安全评估机制；ISO/IEC 27017（云服务信息安全控制措施）与ISO/IEC 27018（公有云PII保护规范）提供国际对照基线；CSA CCM云控制矩阵（v4版，2021年发布）与STAR认证提供行业化的控制映射工具。
以下指标均来自NIST、CSA、美国司法部与公司官方披露、NVD等公开权威来源，各卡片已标注数据出处。不同事件统计口径不同，数值以原始披露为准。
《The NIST Definition of Cloud Computing》首次系统定义云计算的三大服务模式（IaaS/PaaS/SaaS）与四大部署模式，其"按需自助、广泛网络访问、资源池化、快速弹性、可计量服务"五大基本特征至今仍是行业共识性定义。
2019年3月发生、2019年7月披露：攻击者利用AWS环境中Web应用防火墙的SSRF漏洞获取实例元数据中的临时凭证，进而读取存储于S3的约1亿美国及600万加拿大客户数据。该事件成为云元数据服务（IMDS）安全加固（如IMDSv2）的标志性推手。
Apache Log4j2日志组件远程代码执行漏洞，2021年12月公开披露，CVSS v3.1评分10.0（满分）。因其在Java生态中的基础组件地位与利用的简易性，被广泛视为互联网历史上影响面最广的漏洞之一，直接催生各国监管部门的紧急通报机制。
2020年12月披露的SUNBURST供应链攻击：攻击者篡改SolarWinds Orion软件的官方构建流程，向约1.8万家客户（含美国政府机构与众多 Fortune 500 企业）分发带后门的软件更新。该事件确立"构建系统本身即为最高价值攻击目标"的行业共识。
2019年4月25日发现未经授权访问并于当月通报：Docker Hub数据库泄露涉及约19万个账户（不足Hub用户总数的5%）的用户名、哈希密码以及部分自动化构建用户的GitHub与Bitbucket访问令牌——直接威胁大量通过自动化构建链路连接代码仓库的CI/CD流水线。
2024年1月31日披露：开源容器运行时runc在处理容器内进程工作目录时存在文件描述符泄漏（Snyk"Leaky Vessels"系列研究，runc ≤1.1.11受影响，1.1.12修复），攻击者可在特定条件下逃逸至宿主机文件系统。该漏洞再次警示：容器不是天然的安全边界，运行时与内核共享的本质决定了逃逸风险长期存在。
以下术语释义均以官方标准、项目文档与行业共识为依据，供快速查阅与全站口径统一。手机端可横向滑动查看完整表格。
| 术语 | 英文 / 缩写 | 释义与出处 |
|---|---|---|
| 共享责任模型 | Shared Responsibility Model | NIST SP 800-145按服务模式划分云服务商与云客户安全责任边界的分析框架，云安全决策的起点。 |
| 云安全态势管理 | CSPM | 对云资源配置持续审计、漂移检测与合规核查的工具品类，对标CIS Benchmark与CSA CCM控制项。 |
| 云原生应用保护平台 | CNAPP | 整合CSPM、CWPP与软件供应链安全能力的统一防护平台概念，由Gartner提出并持续演进。 |
| 云工作负载保护平台 | CWPP | 面向虚拟机、容器与Serverless等多样化工作负载的运行时防护与漏洞管理。 |
| 软件物料清单 | SBOM | 软件成分的结构化清单；SPDX（ISO/IEC 5962:2021）与CycloneDX为两大主流格式。 |
| 供应链安全框架 | SLSA | Supply-chain Levels for Software Artifacts，软件制品构建完整性L0—L4分级框架（slsa.dev）。 |
| 实例元数据服务 | IMDS / IMDSv2 | 云主机内部链路本地地址（如AWS的169.254.169.254）向实例提供信息与角色临时凭证；v2版强制会话令牌与Hop-Limit，缓解SSRF窃取（Capital One事件后推广）。 |
| Pod安全标准 | PSS | Kubernetes内置的三档Pod准入基线：Privileged / Baseline / Restricted，v1.25起取代PodSecurityPolicy。 |
| 策略即代码 | Policy as Code | 以OPA Gatekeeper、Kyverno等将安全策略声明式作用于K8s准入控制链路的工程范式。 |
| 扩展伯克利包过滤器 | eBPF | Linux内核可编程观测技术，零侵入支撑Cilium网络隔离、Falco运行时检测等云原生安全能力。 |
| 无密钥镜像签名 | cosign / sigstore | sigstore生态的签名与透明日志工具，配合准入策略实现"未签名不运行"的镜像供应链防线。 |
| 机密计算 | Confidential Computing / TEE | 基于可信执行环境（Intel SGX/TDX、AMD SEV、ARM CCA）保护"使用中"数据，结合远程证明构建信任根。 |
| 云访问安全代理 | CASB / SSE | 位于用户与SaaS之间的可见性与控制点，现已并入Gartner提出的安全服务边缘（SSE）体系。 |
| 双向传输层安全 | mTLS | 通信双方互相出示证书认证，服务网格中东西向流量加密与身份绑定的默认机制。 |
| 服务端请求伪造 | SSRF | 诱使服务器向攻击者指定目标发起请求的漏洞；云环境中可直接命中元数据服务窃取凭证，Capital One事件即此链路。 |
| 身份与访问管理 | IAM | 云环境权限体系核心：用户、角色、策略与凭证的全生命周期治理，最小权限与短期凭证是主线。 |
以下节点均来自各机构官方发布记录与公开披露事件，可在对应官网或权威档案中考证。
Amazon Web Services相继推出S3对象存储（3月）与EC2弹性计算（8月），"基础设施即服务"的商业模式正式确立，云安全的全部后续议题由此发端。
OpenStack由Rackspace与NASA于2010年7月联合发起，开源IaaS成为私有云建设主流路径；2011年9月NIST发布SP 800-145，云计算的权威定义与"共享责任"分析框架自此有了标准化锚点。
2013年Docker开源发布，以镜像与容器重塑应用交付；2014年6月Google开源Kubernetes，容器编排的标准之争落幕；2015年12月云原生计算基金会（CNCF）在Linux基金会旗下成立，云原生生态进入产业化加速期。
2018年披露Tesla Kubernetes控制台未授权访问被用于挖矿（RedLock发现）；2019年Capital One因云配置与元数据凭证问题泄露约1亿客户数据、Docker Hub泄露约19万账户、Kubernetes曝出CVE-2018-1002105 API Server提权漏洞（2018年12月披露）。同期，中国《云计算服务安全评估办法》于2019年发布并施行，云上合规进入制度化阶段。
2020年12月SolarWinds SUNBURST供应链攻击披露；2021年5月美国总统行政令EO 14028（改善国家网络安全）强制推动联邦供应链安全要求；2021年12月Log4Shell（CVE-2021-44228）席卷全球。SBOM、SLSA、软件签名与NIST SSDF（SP 800-218，2022年2月发布）成为行业标配方法论。
Kubernetes在v1.25（2022年8月）正式移除PodSecurityPolicy，以内置的Pod Security Standards（Privileged/Baseline/Restricted三档）取而代之，Pod安全准入策略走向简洁与默认安全的方向；CSPM（云安全态势管理）与CNAPP（云原生应用保护平台）品类成熟，配置错误治理从审计走向持续监测。
2024年1月runc CVE-2024-21626容器逃逸漏洞披露，容器运行时安全再度成为焦点；软件供应链签名与验证生态（sigstore/cosign、私有镜像仓库的准入控制）加速普及；机密计算（TEE）与基于eBPF的运行时观测技术走向生产环境，云安全防护从"边界+配置"向"全链路可观测+供应链可验证"演进。
以下战术与技术编号均取自 MITRE ATT&CK Enterprise 矩阵云技术域公开条目（可在 attack.mitre.org 检索原始页面），用于建立"攻击者视角—检测视角"的统一语言。
169.254.169.254 窃取角色临时凭证；对应防护为IMDSv2、SSRF出口收敛与角色最小权限。每个子课题均基于公开标准、官方披露事件与权威研究文献形成可独立拓展的研究单元。点击卡片展开研究框架，子课题详情页随研究推进逐步上线。
系统解构IaaS/PaaS/SaaS三种服务模式下的安全责任分界，研究云服务商（CSP）与云客户之间的责任划分方法论、云错误配置（对象存储公开访问、IAM过度授权、安全组过宽）的系统性检测与治理，以及云安全控制映射（CSA CCM/CAIQ）与评估认证（CSA STAR）体系。
聚焦云原生核心编排平台Kubernetes的攻防研究，覆盖控制面组件（API Server、etcd、Scheduler、Controller Manager）攻击面、Pod安全准入（Pod Security Standards）、网络策略与东西向流量隔离、容器运行时防护与逃逸检测，以及CIS Kubernetes Benchmark基线落地。
研究云原生应用"代码—依赖—构建—镜像—分发—运行"全链路的供应链安全，覆盖SBOM生成与消费（SPDX/CycloneDX）、SLSA框架分级、镜像签名与验证（sigstore/cosign）、私有镜像仓库准入控制、CI/CD流水线凭证保护与开源依赖漏洞治理。
面向函数即服务（FaaS）与后端即服务（BaaS）架构，研究事件源注入、函数执行角色权限最小化、冷启动与运行时可见性缺失、第三方依赖打包、日志审计与滥用（ cryptomining、spam relay ）检测等Serverless特有安全问题。
研究跨公有云、私有云与传统数据中心的混合架构下的安全一致性难题，覆盖配置漂移与策略等价性、统一身份与访问治理、跨云日志与威胁检测聚合、CASB/SSE安全服务接入，以及云间数据传输与出口的管控。
系统梳理中国云上合规要求体系——网络安全等级保护2.0云计算安全扩展要求、《云计算服务安全评估办法》（2019年施行）对党政部门与关键信息基础设施运营者采购云服务的评估要求，以及ISO/IEC 27017、ISO/IEC 27018国际标准与国内要求的映射对照。
云服务安全的元规则：IaaS/PaaS/SaaS三种模式下CSP与客户的责任分界图谱，是所有云安全决策的起点。
Pod Security Standards三档准入、CIS Benchmark核查项与最小权限RBAC，构成容器编排平台的安全默认配置。
软件物料清单（SPDX/CycloneDX）实现成分透明，SLSA分级框架保障构建完整性，是供应链可信的两大支柱。
云安全态势管理将错误配置治理从"年度审计"推进到"分钟级持续监测"，覆盖IAM、网络、存储、日志五大域。
基于eBPF内核可观测性的容器威胁检测（如Falco）在低开销下实现系统调用级行为审计，弥补容器"看不见"的短板。
NIST SP 800-207零信任架构以"永不信任、持续验证"重塑云上访问控制，与云原生身份体系天然契合。
基于CSPM与人工核查双轨，建立云账号、工作负载、存储桶、IAM策略的全量台账，识别影子云资源与公开暴露面。
按服务模式梳理CSP/客户责任边界，对错误配置、权限过宽、元数据暴露等高频风险开展专项评估与优先级排序。
落地CIS Benchmark与PSS基线；建立SBOM生成、镜像签名验证与私有仓库准入的供应链管控流水线。
部署eBPF行为检测与控制面审计，将容器逃逸、凭证窃取、挖矿滥用纳入攻防演练科目，形成检测—响应闭环。
对照等保2.0云扩展要求、《云计算服务安全评估办法》与国际标准完成差距分析，滚动更新云安全基线。
云安全研究依赖配置数据、控制面日志、运行时遥测与供应链情报的交叉分析。理解各类数据的采集边界与合规要求，是开展云上安全研究的前提。
| 数据类型 | 说明 | 云安全用途 |
|---|---|---|
| 云配置快照 | IAM策略、安全组、存储桶策略、KMS密钥策略等资源配置的时点快照 | 错误配置检测、漂移分析、合规审计 |
| 控制面日志CloudTrail 等 | 云账号内全部API调用与控制台操作的审计记录 | 凭证滥用检测、事后取证、异常行为分析 |
| 运行时遥测 | 容器系统调用、进程行为、网络连接的内核级观测数据 | 容器逃逸检测、挖矿与反弹shell识别 |
| 镜像与SBOM | 镜像层明细、软件物料清单、签名与来源证明 | 供应链成分分析、漏洞影响面定位 |
| 供应链情报 | 开源组件漏洞（GitHub Advisory、OSV）、恶意包情报 | 依赖风险预警、投毒检测 |
| 威胁情报 | 云服务商 threat intel 公开报告与IOC | 暴露面关联、攻击者基础设施追踪 |
以下要点基于公开事件复盘与开源社区（Sigma规则库、Falco默认规则集等）的共识整理，属通用检测思路而非可直接套用的成品规则，落地时应结合本环境基线调优。手机端可横向滑动查看完整表格。
| 检测场景 | 数据源 | 检测要点 |
|---|---|---|
| 云凭证异常使用 | 控制面日志（CloudTrail等） | 角色临时凭证从异常地理位置或ASN使用；GetCallerIdentity类校验调用突增；针对S3 List/Get的跨大量存储桶枚举行为。 |
| 元数据服务滥用 | 应用访问日志 + 网络出口 | 应用进程访问链路本地地址（169.254.169.254）；URL参数中出现元数据地址与凭证路径特征（SSRF模式）。 |
| 容器逃逸前兆 | eBPF运行时事件（Falco类） | 容器进程工作目录指向/proc/self/fd路径；异常挂载宿主机根目录或敏感路径；特权容器与hostPID/hostNetwork组合启动。 |
| 挖矿与反弹Shell | 运行时网络 + 进程审计 | 连接已知矿池域名或IP；交互式shell外联与/dev/tcp重定向；突发CPU利用率与云账单异常联动告警。 |
| CI/CD凭证泄露 | 流水线日志 + 代码仓库审计 | 构建日志出现密钥/令牌模式；非工作时段推送与仓库可见性变更；异常WebHook或部署密钥创建。 |
| 镜像与供应链投毒 | 镜像仓库审计 + 准入日志 | 未签名镜像入库或被拉取；拉取非白名单仓库镜像；依赖包异常新增维护者或安装脚本行为。 |
以下标准与规范均为正式发布、公开可查的现行文件，构成本课题合规研究的主要依据。
2011年9月发布，《云计算定义》 Special Publication，确立三大服务模式、四大部署模式与五大基本特征，是云安全责任分析的基石文献。
27017（2015）提供云服务信息安全控制措施实施指南；27018（2019）规范公有云中个人身份信息（PII）保护，二者构成云服务商与客户共同的国际对照基线。
云安全联盟云控制矩阵v4（2021年发布）覆盖17个域的控制项映射；STAR认证以ISO 27001为基线叠加CCM与透明度要求，分注册、自评估、第三方评估与持续审计四级。
《信息安全技术 网络安全等级保护基本要求》2019年5月发布、12月1日实施，设云计算安全扩展要求，是云上系统定级备案与测评的强制基线。
国家网信办、国家发改委、工信部、财政部2019年联合发布，2019年9月1日施行：党政机关、关键信息基础设施运营者采购云计算服务前应通过安全评估，分一般级与增强级。
CIS针对Kubernetes控制面与节点组件的逐项配置核查基线（现行v1.8及后续版本），与Pod Security Standards互为补充，是容器平台合规核查的事实标准。
规定云计算服务全生命周期安全管理要求，为云客户选型、使用与退出云服务提供安全指引，2016年版于2023年修订换版。
明确云服务商在系统开发与供应链安全、数据与信息安全、风险管理等方面的安全能力要求，与《云计算服务安全评估办法》评估实践直接对应。
给出云计算服务安全能力的评估指标、评估流程与判定准则，支撑云安全评估工作的可重复、可比较开展。
定义云计算服务运行阶段的监管角色、监管内容与信息交换要求，支撑对通过评估云平台的持续监督与运行监管落地。
以下条目均来自公司官方披露、司法文件与NVD/CVE官方档案，是检测规则验证与防御基线评估的参考案例库。
| 时间 | 事件/编号 | 类型 | 关键事实与影响 |
|---|---|---|---|
| 2018.2 | Tesla Kubernetes挖矿事件 | 云环境滥用 | RedLock发现Tesla在AWS上部署的Kubernetes控制台存在未授权访问，攻击者利用其中暴露的访问凭证部署挖矿程序。事件凸显云控制台暴露面与凭证管理在云环境下的高危性，属早期云原生环境被滥用的标志性公开案例。 |
| 2019.3—7 | Capital One数据泄露 | 错误配置+凭证窃取 | 攻击者利用Web应用防火墙SSRF漏洞获取EC2实例元数据中的临时角色凭证，读取S3中约1亿（美国）加600万（加拿大）客户数据；2022年攻击者被美国联邦法院定罪。事件直接推动业界对实例元数据服务（IMDSv2）与SSRF防护的系统性加固。 |
| 2019.4 | Docker Hub数据库泄露 | 平台数据泄露 | Docker官方通报Docker Hub数据库被未授权访问，涉及约19万个账户的用户名、哈希密码，以及部分自动化构建用户的GitHub/Bitbucket访问令牌，迫使相关流水线凭证全面轮换。 |
| 2020.12 | SolarWinds SUNBURST | 供应链攻击 | 攻击者篡改Orion软件官方构建流程分发恶意更新，估计约1.8万家机构受影响，包括多家美国联邦机构。事件确立"构建系统即最高价值目标"的行业共识，直接推动SBOM立法与行政令要求（EO 14028）。 |
| 2021.12 | Log4Shell（CVE-2021-44228） | 开源组件漏洞 | Apache Log4j2远程代码执行漏洞，CVSS 10.0，因组件的基础性地位与利用简易性波及全球海量Java应用与云服务，各国网络安全主管部门发布紧急通报，成为供应链漏洞应急的教科书案例。 |
| 2024.1 | runc容器逃逸（CVE-2024-21626） | 容器运行时漏洞 | 开源容器运行时runc文件描述符泄漏导致的工作目录逃逸（CVSS 8.6），允许在特定条件下访问宿主机文件系统。事件再次证明容器非天然安全边界，运行时加固与最小权限挂载不可省略。 |
| 2021.12 | 阿里云未及时报告Log4j2漏洞被通报 | 漏洞报送合规 | 阿里云安全团队发现Log4j2组件漏洞后先向Apache开源社区报告，未按《网络产品安全漏洞管理规定》（2021年9月1日施行）在2日内向工信部网络安全威胁和漏洞信息共享平台报送；工信部网络安全管理局随后内部通报，暂停阿里云作为该平台合作单位6个月。事件凸显云上漏洞情报的法定报送义务与合规红线。 |
| 2022.12 | 蔚来数据泄露遭比特币勒索 | 数据泄露 + 勒索 | 蔚来官方声明：12月11日收到外部邮件，对方声称持有内部数据并勒索225万美元等额比特币；经初步调查被窃数据为2021年8月之前的部分用户基本信息和车辆销售信息。公司拒绝支付并向监管部门报告，创始人公开致歉并承诺对用户损失承担责任。国内智能网联车企数据安全的标志性事件。 |
依托公共互联网反网络钓鱼工作组的协同处置经验，研究云计算在钓鱼攻击链中的双重角色——既是钓鱼基础设施的低成本载体，也是防御与处置能力的倍增器。
云主机、对象存储静态网站与Serverless函数为钓鱼页面提供分钟级部署与低成本弹性扩容，配合"打地鼠"式快速切换IP与域名规避封堵；防御侧需依托云厂商滥用举报通道与API化处置机制实现分钟级下架联动。
Capital One事件所代表的"SSRF→实例元数据→云凭证→资源滥用"链路，同样被用于批量搭建钓鱼基础设施（批量注册域名、托管页面、发送钓鱼邮件）；防护需在应用侧封堵SSRF出口、在实例侧强制IMDSv2并收敛角色权限。
针对企业SaaS（邮箱、协作文档、代码托管）的凭证钓鱼与恶意OAuth应用授权（consent phishing）呈上升趋势：攻击者诱导用户授予第三方应用邮箱读取或文件访问权限，绕过传统密码重置防线；防御需结合CASB/SSE的应用可见性、授权范围审计与异常令牌吊销。
以下动态均来自标准化组织、监管机构与主流云厂商的公开发布。
美国EO 14028（2021年）要求联邦供应商提供SBOM，NIST SSDF（SP 800-218，2022年）将软件供应链安全开发制度化；欧盟《网络弹性法案》（CRA）2024年12月生效，对含数字元素产品提出漏洞管理与SBOM相关要求；中国《网络安全标准实践指南——软件物料清单（SBOM）构建及应用指引》等文件推动国内落地。供应链透明度正在全球范围内成为硬性合规义务。
Kubernetes v1.25（2022年8月）正式移除PodSecurityPolicy，以语法更简、默认更严的Pod Security Standards（Privileged/Baseline/Restricted三档）取而代之，并与准入控制器生态（Gatekeeper、Kyverno）形成"内置基线+策略即代码"的组合范式，Pod安全配置门槛显著降低。
以eBPF为核心的内核可观测技术（Cilium网络、Falco运行时检测、Pixie类排障工具）在CNCF生态快速普及，使"零侵入"的容器流量可视化与系统调用级威胁检测成为生产标配，传统Agent式防护在云原生场景加速退场。
美国CISA"已知被利用漏洞（KEV）目录"持续收录在云环境中被积极利用的漏洞（如各类VPN、云管理组件漏洞），成为企业补丁优先级排序的权威外部输入；多国监管机构参照建立"必须修复清单"机制，云组件漏洞响应从"月度窗口"压缩到"72小时"量级。
《云计算服务安全评估办法》评估实践逐年扩大覆盖范围，等保2.0云计算扩展要求在测评中全面执行；云上密评（商用密码应用安全性评估）与数据安全评估叠加，云上合规从"单点过检"转向"体系化持续合规"。
基于TEE（可信执行环境）的机密计算能力（Intel SGX/TDX、AMD SEV、ARM CCA）已被主流云厂商纳入产品线，结合远程证明（attestation）实现"使用中数据"保护；与零信任、后量子密码的叠加成为云上高敏感负载的新信任底座。
综合CIS Benchmark、CSA最佳实践与国内合规要求整理，供组织规划云上安全体系时参考。
基于CSPM与云账单归集全量云账号与工作负载，识别未经安全团队纳管的"影子云资源"与公开暴露面，建立云资产台账的唯一可信源。
清理通配符权限与长期访问密钥，全面推行短期凭证（OIDC联邦）与MFA；元数据服务强制IMDSv2，应用侧治理SSRF出口。
按CIS云平台Benchmark落地存储桶、安全组、日志开关基线，以CSPM实现分钟级漂移告警与自动修复。
全量生成SBOM，构建产物强制cosign签名，私有镜像仓库执行准入扫描与"未签名不运行"策略，CI/CD凭证全面轮换为短期令牌。
部署eBPF行为检测覆盖容器逃逸、凭证窃取与挖矿行为，将控制面凭证滥用纳入演练场景，验证检测与响应闭环时效。
对照等保2.0云扩展与《云计算服务安全评估办法》完成差距分析，云审计日志留存满足法定时限并保障取证可用性。
本专题引用的标准、数据与事件均来自以下公开发布的权威来源，可按原始出处核实。
工业和信息化部、国家网信办、公安部联合发布：网络产品提供者发现漏洞后应在2日内向工信部网络安全威胁和漏洞信息共享平台报送——阿里云Log4j2事件即因未及时报送被通报。
蔚来官方声明：遭勒索225万美元等额比特币，被窃数据为2021年8月之前的部分用户基本信息和车辆销售信息；公司拒付赎金并向监管部门报告。