TP官網提供的鏡像倉庫訪問審計，核心在於理清誰在什麽時候拉了哪個鏡像。91香蕉视频IOS下载部署的每一種角色——開發者、CI/CD流水線、K8s節點——都應該有獨立的認證憑證和訪問記錄。建議開啟倉庫的審計日誌功能，把所有pull和push操作都記錄到ELK或S3上，這樣事後追蹤才有據可查。
異常檢測不能隻看單一指標。有一次我發現一個節點半夜突然每秒拉取上百次鏡像，排查後發現是腳本裏的循環沒加sleep。更隱蔽的風險是某個服務賬號的憑證泄露後，攻擊者會模擬正常pull行為，頻率和時段都和平時一樣，這時候需要對比每天拉取的鏡像列表是否出現陌生倉庫名或tag。
實現精準檢測，要在審計日誌上做兩層分析。第一層用固定規則過濾掉已知的合法行為，比如定時拉取基礎鏡像的cronjob。第二層用統計模型識別偏差，例如某個項目組以前隻拉取20個鏡像，某天突然拉到200個新鏡像，就需要觸發人工複核。TP官網的文檔裏對日誌字段定義得很詳細，是寫檢測規則的依據。
訪問審計的日誌保留周期要和企業合規要求對齊。金融客戶通常要求保存180天以上，而互聯網公司更關注7天內的高頻異常。如果日誌量太大，可以設置采樣策略：對基礎鏡像隻記錄pull次數，對業務鏡像全量記錄詳情。這樣既節省存儲成本，也不遺漏關鍵事件。
