### ① 情报卡片 靶场环境 K8S-TARGET-21，攻击者已获高权身份，以 CronJob 形式按计划反复触发，环境脱敏。 ### ② 攻击面判断 CronJob 按时间表创建 Job 跑一次性任务，被借用后成为定时自动复活的驻留点，节点或 Pod 被清后到点再起。缺陷在高权身份可创建，机制是时间触发。 ### ③ 第一次试探 防守侧只读盘点 CronJob 清单、 schedule 与镜像，核对非业务计划，不触发不删除。 ### ④ 真假阳性递进校验 排除合法定时任务：备份、报表等 CronJob 为业务所需。确认计划异常、镜像不明、任务无业务对应才判真。 ### ⑤ 完整链路拆解 高权身份 → 创建 CronJob 形式驻留（机制，不含 YAML）→ 到点自动生成 Job 拉起任务 → 单次清理后到点复活 → 长期反复存在。与 DaemonSet 的区别：一个按节点铺，一个按时间起。 ### ⑥ 底层溯源 CronJob 控制器（Go goroutine）按 schedule 到点创建 Job，Job 控制器再起 Pod。时间触发自动重建，属调度机制被