在多租户 Kubernetes 集群中，若未对 Pod 的出站（Egress）流量实施严格隔离，被攻陷的业务容器可能向内网核心元数据服务（如云厂商 Metadata IP: 169.254.169.254）或恶意外部 C2 服务器发起横向渗透。 🔒 状态机安全防御边界： 默认拒绝（Default Deny-All）安全基线： 强制在命名空间级别应用基础 NetworkPolicy，默认阻断所有未明确声明的 Ingress 与 Egress 流量，收敛网络攻击面。 元数据服务访问物理阻断： 在 Egress 规则中显式剥离并拉黑云平台元数据 IP 与敏感内网网段，防止通过 SSRF 或凭证…
2026年10月15日 3
