攻击面收敛

背景 我是一名做安全加固的工程师，习惯从现象倒推根因。最近帮一个 K8s 1.28 / containerd 1.7 / 内核 5.15 的集群做攻击面收敛，审计发现一个被忽视的隐患——「僵尸挂载」： 集群里 30+ 微服务，Secret

【背景】 我做了 8 年安全加固，最近复盘了一起内部 DLP 绕过事件：某业务同学的导出服务在代码里硬编码了一个海外对象存储 endpoint，把脱敏不彻底的明细数据传了出去。事后排查发现，公司出口网关的「出网白名单」是业务团队自己在工单里

【背景】 6 节点自建 K8s 1.28（containerd 1.7），约 30 个微服务，东西向流量走 mTLS（Istio STRICT），出口统一收敛到 sidecar 代理，业务容器本身无外联权限、无 privileged、SA