用途：检测容器运行时漂移，即运行中的容器偏离其原始镜像状态，包括未授权的文件修改、异常二进制执行、配置变更或运行时包安装。容器应视为不可变基础设施，任何漂移都可能是入侵迹象，采用 DIE（Detect、Isolate、Evict）模型处理。
适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析流程、验证相关攻击技术的监控覆盖。前置条件：Kubernetes v1.24+ 并具备运行时安全工具，Falco 或 Sysdig，可访问镜像清单的镜像仓库，熟悉 Linux 文件系统分层与 OverlayFS。
主要能力与检测方法：文件与镜像差异比较、eBPF 或内核级行为监控、镜像摘要验证。使用 Falco 可检测新二进制执行、容器内 shell 启动、包管理器使用（apt、yum、dnf、apk、pip、npm、gem、cargo 等）以及容器上层文件系统写入，并输出用户、命令、容器、镜像等上下文。
加固方式：Kubernetes 中设置 readOnlyRootFilesystem、allowPrivilegeEscalation: false、runAsNonRoot，将 /tmp 与 /var/cache 挂载为受限 emptyDir；通过命名空间标签强制执行 Pod Security Standards restricted 策略。可用脚本持续比对运行中容器镜像与批准清单中的摘要，并对使用可变标签（非 @sha256:）的镜像告警。Azure 环境可集成 Microsoft Defender for Containers，其内置二进制漂移告警（如 K8S.NODE_ImageBinaryDrift）。
响应流程：告警触发后先验证是否来自经批准进程，再用 deny-all NetworkPolicy 隔离受影响 Pod，采集文件系统差异与进程列表，删除漂移 Pod 由 ReplicaSet 以干净镜像重建，最后修补根因。
限制：具体部署配置与调优参数暂未提供；需按实际环境验证规则以避免误报。