容器逃逸（Container Escape）属于云原生安全中的高危事件，发生后如果响应不及时，攻击者可能从容器进入宿主机，进而控制整个集群。下面从检测发现 → 隔离止损 → 取证溯源 → 清除恢复 → 加固改进五个阶段，给出一套可落地的响应思路。
常见逃逸迹象
ps 中出现了宿主机 PID）/, /var/run/docker.sock, /proc, /sys）CAP_SYS_ADMINmount, ptrace, unshare）确认手段
cat /proc/1/cgroupls -la /proc/1/root✅ 原则：宁可误报，不可漏报
docker stop / kubectl delete podkubectl cordon）⚠️ 不要立即删除容器（会丢失证据）
容器内取证
宿主机取证
auditd / systemd）runc）溯源目标
docker.sock 挂载容器逃逸响应核心：先隔离、再取证、慎删除、后加固。
如果你愿意，我可以：
免责声明：本站发布的内容（图片、视频和文字）以原创、转载和分享为主，文章观点不代表本网站立场，如果涉及侵权请联系站长邮箱：is@yisu.com进行举报，并提供相关证据，一经查实，将立刻删除涉嫌侵权内容。
