01 · 双基线核查体系
本课题采用"CIS Benchmark（逐项配置核查）+ NSA/CISA加固指南（架构级原则）"双基线互补：前者回答"这一项配置对不对"，后者回答"整体架构是否按原则设计"。两者均为公开发布的权威文件。
| 基线 | 定位 | 结构/章节（现行版本） | 核查方式 |
|---|---|---|---|
| CIS Kubernetes Benchmark （v1.8及后续版本，以CIS官网最新发布为准） | 逐项可机读的配置核查清单，覆盖控制面组件、节点、RBAC、网络策略、etcd等 | 按组件分节（Control Plane Configuration、etcd、Control Plane Node、Worker Node、Policies、Master/Node共数百项） | kube-bench（Aqua开源）自动扫描+人工复核例外项 |
| NSA/CISA Hardening Guidance （v1.1，2022.08） | 架构级加固原则与威胁场景建议 | Pod安全、网络隔离与加固、认证与授权、日志审计、供应链安全、威胁检测等章节 | 架构评审清单化；与本课题各页对应（见下表映射） |
1.1 本课题章节—基线主题映射
| 基线主题 | 本课题章节 | 关键核查项示例 |
|---|---|---|
| 认证与匿名访问 | 第2、3页 | --anonymous-auth=false；静态token文件清零；OIDC启用 |
| RBAC最小权限 | 第3页 | 无通配ClusterRoleBinding；system:masters组无业务账号 |
| Secrets与加密 | 第3页 | EncryptionConfiguration启用（KMS优先）；list secrets权限收敛 |
| Pod安全基线 | 第4页 | 生产namespace PSS enforce≥Baseline（推荐Restricted） |
| 网络策略 | 第5页 | 默认拒绝两基线落地；CNI实测策略生效 |
| 镜像与供应链 | 第6页 | 验签Enforce；CI扫描门禁；私有registry白名单 |
| 日志与审计 | 第3、7页 | 审计策略覆盖写操作；留存≥180天；SIEM接入 |
| 运行时检测 | 第4、7页 | Falco/Tetragon部署覆盖关键节点池；场景库红队验证 |
kube-bench使用要点：①以Job/CronJob形式常驻集群，输出按FAIL/WARN分级；②WARN项（需人工判断）建立评审台账，定期清零；③对托管K8s选用对应目标profile（如EKS/AKS/GKE专属配置）；④核查结果入GitOps仓库，失败项自动生成整改Issue跟踪。
02 · OWASP Kubernetes Top 10（2022）
OWASP于2022年发布的Kubernetes专属风险清单，与本课题各页对应关系如下，可作为风险评估沟通与培训的统一词汇表。
| 编号 | 风险 | 对应本课题 |
|---|---|---|
| K01 | 不安全的工作负载配置（Insecure Workload Configurations） | 第4页：PSS、安全上下文五件套 |
| K02 | 供应链漏洞（Supply Chain Vulnerabilities） | 第6页：扫描、签名、SBOM |
| K03 | 过度宽松的RBAC（Overly Permissive RBAC） | 第3页：RBAC最小权限工程 |
| K04 | 缺乏集中策略执行（Lack of Centralized Policy Enforcement） | 第3页：准入控制；第4页：PSA |
| K05 | 日志与监控不足（Inadequate Logging and Monitoring） | 第3、7页：审计、检测场景库 |
| K06 | 认证机制缺陷（Broken Authentication Mechanisms） | 第3页：认证体系与SA治理 |
| K07 | 缺少网络分段（Missing Network Segmentation） | 第5页：默认拒绝与微分段 |
| K08 | 机密管理失效（Secrets Management Failures） | 第3页：KMS加密与外部化 |
| K09 | 集群组件配置错误（Misconfigured Cluster Components） | 第2、8页：攻击面与基线核查 |
| K10 | 组件过期与脆弱（Outdated and Vulnerable Kubernetes Components） | 第2页：漏洞档案；第7页：升级SLA |
03 · 合规映射
Kubernetes平台通常承载等保2.0定级系统或云上评估对象，容器层控制项需能向合规框架举证。以下为常用映射关系（对应控制项以原文为准，本表为技术落点指引）。
| 合规要求 | 容器层技术落点 | 举证材料 |
|---|---|---|
| 等保2.0（GB/T 22239-2019）身份鉴别/访问控制 | OIDC统一认证+MFA；RBAC最小权限；SA短期令牌 | 认证配置导出、RBAC清单与评审记录 |
| 等保2.0 安全审计 | API审计策略；节点与运行时日志集中；留存≥6个月 | 审计策略文件、日志平台留存配置 |
| 等保2.0 入侵防范/恶意代码防范 | 镜像扫描准入；运行时行为检测；网络默认拒绝 | 准入策略、检测规则与演练报告 |
| 等保2.0 数据完整性/保密性（云计算扩展） | etcd静态加密（KMS）；Secret最小化挂载；PV加密 | EncryptionConfiguration、密钥管理说明 |
| 《云计算服务安全评估办法》（2019） | 承载云评估对象的集群：镜像来源管控、租户隔离分级、供应链可溯 | 镜像仓库治理制度、隔离架构说明、SBOM归档 |
| ISO/IEC 27017/27018（云控制与PII） | 多租户隔离（第7页分级模型）；PII负载的沙箱与加密运行 | 隔离架构评审、数据处理记录 |
04 · 成熟度模型（自评五级）
05 · 实施路线图
| 阶段 | 目标 | 关键动作（对应页） |
|---|---|---|
| 0—90天 筑基 | 消除裸奔面，达到L2 | ①攻击面清点与端口收敛（P2）②匿名访问/静态token清零（P3）③生产namespace PSS enforce Baseline（P4）④kube-bench周期化（P8）⑤镜像扫描进CI（P6） |
| 3—6个月 强化 | 默认安全，达到L3 | ①OIDC人员认证+SA短期令牌（P3）②EncryptionConfiguration+KMS（P3）③准入策略模板集与GitOps（P3）④网络默认拒绝+服务白名单（P5）⑤cosign验签audit→enforce（P6） |
| 6—12个月 精益 | 主动防御，达到L4 | ①运行时检测场景库建设与红队验证（P4/P7）②多租户隔离分级落地（P7）③事件响应流程演练与取证能力（P7）④SBOM全量与应急回溯演练（P6） |
| 12个月+ 运营 | 度量驱动，逼近L5 | ①指标体系月报化（P8）②漏洞SLA与补丁治理闭环（P2/P7）③跨集群/多云策略一致（协同子课题05）④成熟度年度复评（P8） |
06 · 度量指标字典
| 指标 | 定义 | 目标参考 | 数据来源 |
|---|---|---|---|
| 基线合规率 | CIS核查通过项/总适用项 | ≥95%（FAIL清零） | kube-bench |
| PSS强制覆盖率 | enforce标签≥Baseline的namespace占比 | 100% | 集群标签巡检 |
| 镜像验签覆盖率 | 准入放行镜像中验签通过占比 | 100%（存量清零） | 准入Webhook日志 |
| 高危RBAC存量 | 通配ClusterRoleBinding与escalate类授权数量 | 0 | RBAC扫描器 |
| 检测场景覆盖率 | 场景库中经红队验证通过的场景占比 | ≥80%（首年） | 检测工程台账 |
| MTTD/MTTR | 检测/响应中位时延 | MTTD≤1小时 | SIEM+演练复盘 |
| 漏洞修复SLA达成率 | 在SLA内修复的比例（分级） | ≥95% | 漏洞管理平台 |
07 · 全课题交付物汇总
| 编号 | 交付物 | 来源页 |
|---|---|---|
| D1 | 《Kubernetes集群攻击面清单与默认配置核查手册》 | 第2页 |
| D2 | 《身份与权限最小权限基线（RBAC/SA/准入控制模板集）》 | 第3页 |
| D3 | 《Pod安全标准与容器运行时防护基线》 | 第4页 |
| D4 | 《云原生网络隔离与服务网格安全配置指南》 | 第5页 |
| D5 | 《容器供应链安全流水线规范》 | 第6页 |
| D6 | 《多租户隔离与事件响应手册（含检测场景库）》 | 第7页 |
| D7 | 《安全基线核查与成熟度评估体系（含度量字典）》 | 第8页 |
全八页结语：容器安全的本质不是"买对一个工具"，而是把"默认开放"逐步改造为"默认安全"的工程纪律——攻击面有档案、权限有边界、行为有观测、事件有流程、改进有度量。至此，本子课题与子课题01（共享责任）、03（供应链总纲）、06（云上合规）形成完整闭环，可直接支撑组织的Kubernetes安全建设与合规举证。
08 · 基线核查常见误区与纠正
| 误区 | 纠正 |
|---|---|
| "kube-bench全PASS就等于集群安全" | 工具核查静态配置项，不覆盖策略语义正确性、运行时行为与凭证卫生；须叠加第7页检测场景库的红队验证与审计日志复核。 |
| "NetworkPolicy文件存在，网络就隔离了" | 策略未选中任何Pod（podSelector为空集）、CNI不支持或规则方向写反（ingress/egress混淆）均为常见事故——以拒绝型策略实测连通性为准。 |
| "镜像扫描通过就可以信任" | 扫描只反映已知漏洞与规则集；零漏洞镜像仍可能是投毒产物。签名验证（第6页）回答"来源可信"，扫描回答"内容干净"，二者缺一不可。 |
| "托管集群控制面由云厂商管，我们无需升级" | 云厂商负责控制面组件，但节点kubelet、运行时版本、工作负载配置与镜像安全始终在客户责任面——历史事件全部发生在这一侧。 |
| "告警数量多说明检测能力强" | 无度量即无能力：以场景库的检出率、误报率、MTTD三项指标为准绳（第6节指标字典），告警噪声反而是检测工程失控的信号。 |
本节参考来源（第8页）
CIS Kubernetes Benchmark（现行版本）与kube-bench：cisecurity.org/cis-benchmarks；github.com/aquasecurity/kube-bench。
NSA & CISA《Kubernetes Hardening Guidance》v1.1（2022年8月）。
OWASP《Kubernetes Top 10》（2022年）：owasp.org/www-project-kubernetes-top-ten。
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（国家标准全文公开系统）；《云计算服务安全评估办法》（中国网信网）；ISO/IEC 27017:2015、27018:2019。
Kubernetes官方文档（Pod安全标准、审计、网络策略等，见第1—7页引用）。