分类：云原生安全

Cilium 用 eBPF 完全替代 kubeproxy 的 iptables 规则，在 XDP 层实现 L4 负载均衡与 SYN Flood 清洗。由于丢包发生在驱动收包阶段，未分配 skbuff，单节点可抵御数千万 PPS 的攻击流量。 一、Cilium XDP 加速与 DDoS 防护配置

容器本质上是利用 Linux 内核的 Namespace 和 Cgroups 实现的隔离环境。若 Pod 配置了过度宽松的特权（如 privileged: true）或挂载了宿主机的 /var/run/docker.sock，攻击者即可直接逃逸到宿主节点。 一、特权容器挂载宿主机根目录风险

Kubernetes 默认允许所有 Pod 之间自由通信，形成扁平化攻击面。NetworkPolicy 通过标签选择器定义入站/出站白名单，由 CNI 插件（如 Calico、Cilium）在数据平面落地为 iptables 或 eBPF 规则实现微隔离。 一、默认拒绝 + 白名单放行策略

容器默认共享宿主机内核，一旦被授予 CAPSYSADMIN 或运行特权模式（privileged），攻击者即可挂载宿主机设备或利用内核漏洞实现容器逃逸。最小化 Capabilities 并启用 Seccomp 默认配置是核心防御手段。 一、安全加固的容器启动参数

Serverless 场景下，函数冷启动会复用底层执行环境容器。若未清理全局变量，或为单个函数配置了例如 AdministratorAccess 的过度特权，攻击者利用事件载荷注入后，可持久化横向渗透云基础设施。 一、限制 Lambda IAM Execution Role 范围