xz utils в очередной раз хочется обратить внимание на замечательную заметку от Halvar Flake под названием "A bank statement for app activity (and thus personal data)" от 2018 года, где он рассуждает что такое вредоносное и не вредоносное.Пускай он там говорит в основном про мобильные приложения, но суть поведения приложений также накладывается и на контейнеры с их запуском исполняемых файлов, обращению к файловой системе и сетевым соединениям. Также благо, что наши контейнеры запускаются на иммутабельных образах и имеют не изменяемую логику, небольшую работу на скейле (на нескольких копиях).
Как итог, важно понимать свою систему, которую вы защищаете, а не относиться к ней как к черному ящику.
P.S. Занимательный факт - именно эта заметка легла в основу поведенческого анализа и observability нашего Luntry.