容器与Kubernetes安全第06页：供应链与镜像安全

01 · 镜像生命周期风险面

容器供应链的风险沿"源代码→构建→分发→运行"链路逐级放大：构建环境的污染会进入每一个下游镜像；公开仓库中的恶意基础镜像可污染所有派生镜像；集群若不做准入校验，任何持有镜像推送权限的主体都可直接部署任意代码。NIST SP 800-190（2017）早已指出：镜像与注册表是容器安全六大关切中的两大核心。

02 · 镜像构建安全

2.1 可信基础镜像

• 基础镜像只取自官方或经内部评审的仓库，固定到内容寻址digest（sha256:...）而非可变tag——tag可被重新指向，digest不可篡改。
• 优先选用极简基础镜像（distroless、alpine、scratch）减小攻击面：没有shell与包管理器的镜像显著增加攻击者驻留难度。
• 维护组织级"黄金镜像"流水线：基础镜像由安全团队统一构建、扫描、签名，业务团队禁止直接使用公网基础镜像。

2.2 Dockerfile安全基线

# 反例：危险的基础镜像引用
FROM ubuntu:latest            # 可变tag + 无digest

# 正例：可信基座示例（截断示意）
FROM gcr.io/distroless/static-debian12:nonroot@sha256:<DIGEST>
COPY --from=builder /app/server /server
USER nonroot:nonroot
ENTRYPOINT ["/server"]

03 · 镜像扫描与漏洞治理

3.1 扫描工具与环节

3.2 漏洞治理原则

• 基线分级：内部工具镜像可放宽，互联网暴露镜像从严；以CISA KEV（已知被利用漏洞目录）为优先修复输入（与子课题01联动）。
• 扫描的边界：静态扫描无法发现运行时配置错误、硬编码密钥、恶意行为——扫描是必要非充分条件，须与签名、准入、运行时检测（第4页）组合成链。
• 修复SLA：按严重度与暴露面定级：互联网面CRITICAL漏洞24—72小时，内部中危随下次发布；SLA未达成自动升级。

04 · 镜像签名与准入验证

扫描回答"镜像里有什么漏洞"，签名回答"这个镜像是不是我们构建的那个"。两者缺一不可——SolarWinds事件证明：即使来源看起来可信，构建链也可能被污染，因此必须对每个部署到集群的镜像验证签名来源。

4.1 sigstore/cosign无密钥签名体系

• cosign是sigstore生态的镜像签名工具：支持keyless模式（基于Fulcio短期证书与Rekor透明日志，无需长期保管私钥，签名记录公开可审计），也支持传统的硬件密钥/KMS私钥。
• CI流水线完成构建后自动执行cosign sign，签名随镜像推送到同一仓库；集群侧通过验签策略拒绝未签名镜像。
• Rekor透明日志使签名事件可公开审计，第三方可监控"是否出现意外的签名活动"。

4.2 集群准入验签落地

# Kyverno验签策略（截断示意）
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: verify-image-signature
spec:
  validationFailureAction: Enforce
  rules:
  - name: verify-cosign-signature
    match:
      any:
      - resources:
          kinds: ["Pod"]
    verifyImages:
    - imageReferences:
      - "registry.internal.example.com/*"
      attestors:
      - entries:
        - keys:
            publicKeys: |
              -----BEGIN PUBLIC KEY-----
              ...（组织CI签名公钥）
              -----END PUBLIC KEY-----

05 · SBOM在容器场景的落地

• 生成：构建流水线中用syft/Trivy等工具对镜像生成SBOM（SPDX或CycloneDX格式，SPDX已标准化为ISO/IEC 5962:2021），随镜像元数据归档；格式细节与子课题03总纲一致，本页聚焦容器侧集成点。
• 消费：①新CVE披露时按SBOM秒级定位受影响镜像与在跑Pod清单——Log4Shell应急中，具备SBOM的组织在小时级完成排查，无SBOM者以周计；②与许可证合规（GPL污染检测）共用同一数据。
• 归档：SBOM与镜像digest绑定存储，退役镜像的SBOM保留期与审计要求对齐；集群侧可经准入策略校验"无SBOM镜像不得部署"（渐进要求）。
• 局限认知：SBOM只声明"包含什么"，不声明"是否安全"——其价值依赖与漏洞库（OSV、GitHub Advisory）的持续关联。

06 · CI/CD流水线安全

CI/CD系统持有代码仓库、镜像仓库与集群的写凭证，是供应链中"凭证密度"最高的环节，也历来是攻击者优先目标。

07 · 供应链事件档案

本节参考来源（第6页）