镜像有没有洞、运行时在干什么、谁来拦不该发生的事
运行时威胁检测：按规则匹配内核事件（syscall），发现异常行为就出告警。
运行时防护
用 Rego 写 K8s 准入策略：表达力最强，学习曲线也最陡。
准入与策略
按 CIS Kubernetes Benchmark 逐条检查集群配置，输出通过/失败与修复建议。
扫描与基线
用 YAML 写 K8s 策略：校验、变更（mutate）、生成资源，不用学新语言。
eBPF 运行时可观测与强制：进程、文件、网络事件带 K8s 身份，可在内核里阻断。
一把扫全部：镜像漏洞、IaC 配置、K8s 清单、密钥硬编码、SBOM。CI 里最常见的那个。