TP官网提供的镜像仓库访问审计，核心在于理清谁在什么时候拉了哪个镜像。青青草污视频部署的每一种角色——开发者、CI/CD流水线、K8s节点——都应该有独立的认证凭证和访问记录。建议开启仓库的审计日志功能，把所有pull和push操作都记录到ELK或S3上，这样事后追踪才有据可查。
异常检测不能只看单一指标。有一次我发现一个节点半夜突然每秒拉取上百次镜像，排查后发现是脚本里的循环没加sleep。更隐蔽的风险是某个服务账号的凭证泄露后，攻击者会模拟正常pull行为，频率和时段都和平时一样，这时候需要对比每天拉取的镜像列表是否出现陌生仓库名或tag。
实现精准检测，要在审计日志上做两层分析。第一层用固定规则过滤掉已知的合法行为，比如定时拉取基础镜像的cronjob。第二层用统计模型识别偏差，例如某个项目组以前只拉取20个镜像，某天突然拉到200个新镜像，就需要触发人工复核。TP官网的文档里对日志字段定义得很详细，是写检测规则的依据。
访问审计的日志保留周期要和企业合规要求对齐。金融客户通常要求保存180天以上，而互联网公司更关注7天内的高频异常。如果日志量太大，可以设置采样策略：对基础镜像只记录pull次数，对业务镜像全量记录详情。这样既节省存储成本，也不遗漏关键事件。
