### ① 情报卡片 靶场环境 K8S-TARGET-20，攻击者已获高权 API 身份，以 DaemonSet 形式驻留，环境脱敏无真实镜像。 ### ② 攻击面判断 DaemonSet 的本职是每节点跑一个守护 Pod，节点新增自动补建。被借用后成为每节点自动常驻的驻留点，缺陷是高权身份可创建此类对象，机制是调度器逐节点保证副本。 ### ③ 第一次试探 防守侧只读盘点集群内 DaemonSet 清单与镜像来源，核对是否存在非业务声明，不删除不改动。 ### ④ 真假阳性递进校验 排除合法守护：监控、日志、CNI 等 DaemonSet 为业务所需。确认对象无业务归属、镜像来源不明且每节点铺开才判真，区分"系统守护"与"后门常驻"。 ### ⑤ 完整链路拆解 高权身份（域2成链结果）→ 创建 DaemonSet 形式驻留（机制，不含 YAML）→ 控制器保证每个节点一个副本 → 节点重建/扩缩也自动补回 → 形成全域常驻。删除单个 Pod 无效，控制器会再拉起，这是它比普通 Pod 顽固的原因。 ### ⑥ 底层溯源 DaemonSet 控制器（Go goro