云原生运行时基线，解决的不是“系统是否安装了安全组件”，而是判断生产环境中的身份、工作负载、通信与操作是否处于可接受状态。由于容器、服务实例和临时任务会持续变化，IP 地址和固定网络边界不能再作为唯一依据。基线必须绑定业务身份、工作负载属性、部署环境、资源权限及运行行为，并能够随环境变化持续更新。
基线应覆盖什么
第一层是身份与权限。需要明确用户、服务账号、自动化流水线和云资源角色分别能访问什么，重点检查共享账号、长期有效密钥、跨环境复用权限和未及时回收的高权限。最小权限不是一次性配置，而是根据实际使用记录持续复核。
第二层是工作负载状态。运行中的容器应具备可识别身份，并受到特权运行、主机目录挂载、敏感配置、资源使用和网络访问等约束。镜像来源、依赖和部署配置属于发布前控制，但运行时仍需关注异常进程、文件访问、网络连接和权限变化。镜像检查不能替代运行时治理。
第三层是通信与行为。企业应掌握关键服务之间的调用关系、访问身份和数据流向，识别不必要的跨环境访问、异常横向调用以及偏离日常模式的操作。基线不等于记录所有事件，而是围绕高价值资产定义“正常范围”和“需要进一步验证的异常”。
如何建立并持续验证
建设应从资产、身份、工作负载和责任人盘点开始，先覆盖生产环境、关键服务和高权限主体，再建立最低安全要求。每条基线最好区分必须满足、需要审批的例外和暂不覆盖但必须登记三类，避免规则过于僵化而被业务绕开。
随后将身份日志、部署记录、配置变更、镜像来源、运行时事件和处置结果关联起来。告警应说明发生了什么、影响了什么以及谁负责处理，而不是只展示地址、端口或进程名称。对低风险事件可观察复盘，对中风险事件触发限制或二次验证，对高风险事件再执行隔离、暂停发布或撤销授权，并保留人工接管和恢复机制。
成熟的运行时基线，最终应能回答三个问题：当前运行了什么，谁在以什么权限操作，以及异常发生后能否及时缩小影响范围。它不是静态清单，而是云平台、研发交付与安全运营共同维护的持续控制能力。