Отличная статья "Detection Engineering for Kubernetes clusters" от известной аудиторской компании. Статья состоит из 3 частей:
1) Что такое Kubernetes для Detection Engineering специалиста
2) Что такое Detection Engineering для Kubernetes специалиста
3) Detection Engineering в Kubernetes

Среди рассматриваемых способов детектирования:
- Signatures
- Behaviours
- Anomalies

В статье все крутиться вокруг анализа событий Kubernetes Audit Log (и только стадия privilege escalation), события/действия/активности внутри контейнеров (runtime) в рамках данной статьи не рассматриваются.

Таким образом, из-за отсутствия анализа runtime тема раскрыта примерно на 50%, при этом как по мне из этого еще 40% можно заранее предусмотреть в политиках от Policy Engine, чтобы уменьшить логирование и сразу сделать prevention и вот получаем 10% действительно актуального. Например, я очень рад, что не забыли сказать про SelfSubjectAccessReview о котором я уже писал на канале.

И очень хорошее уточнение: "Some managed platforms will not let you customise the audit logging, but it still needs to be enabled. From a security perspective certain misconfiguration, such as unauthenticated access to Kubelets, would allow an attacker to bypass the API server, making these logs redundant and therefore bypassing all our detections."