用途：检测与预防 Kubernetes Pod 内的权限提升，覆盖运行 root、privileged 模式、挂载宿主机文件系统、添加危险 Linux capability 等场景。资料将其分为准入控制（预防）、运行时监控（检测）、审计日志（调查）三层。
主要能力：列出常见提权向量及对应检测方式，包括 privileged:true、hostPID、hostNetwork、hostPath 卷、SYS_ADMIN 能力、allowPrivilegeEscalation:true、runAsUser:0、automountServiceAccountToken，以及可写 /proc 或 /sys。提供 Pod Security Admission 命名空间标签配置、OPA Gatekeeper ConstraintTemplate（禁止危险能力、特权模式、allowPrivilegeEscalation、hostPID、hostNetwork）、Falco 规则（setuid/setgid 执行、能力提升、危险能力容器启动、写入 /etc/passwd）、Kubernetes 审计策略与 jq 查询示例。
使用方式：需 Kubernetes v1.25+ 支持 Pod Security Admission；具备 kubectl 集群管理员权限；部署 Falco 或类似运行时安全工具；使用 OPA Gatekeeper 或 Kyverno 实施准入策略。按资料提供的 YAML 与命令执行策略下发与排查。
适用场景：安全事件调查、构建检测规则与威胁狩猎查询、SOC 分析师结构化流程、验证相关攻击技术的监控覆盖。
限制：资料未提供具体收费、价格或平台信息。使用前需结合自有集群实际校验策略，避免误拦截正常工作负载。