Definition. Eine NetworkPolicy regelt den Netzwerkverkehr von und zu Pods anhand von Label-Selektoren, Namespaces und IP-Blöcken. Ohne Policy ist ein Pod nicht isoliert. Sobald eine Policy mit Egress ihn auswählt, ist nur noch der dort erlaubte ausgehende Verkehr möglich. Durchsetzen muss sie das Netzwerk-Plugin des Clusters, und das muss NetworkPolicies unterstützen.

Warum relevant. Eine Egress-Sperre begrenzt, wohin ein kompromittierter Prozess Daten schicken kann. Gegen Credential-Stealer aus der Lieferkette ist sie deshalb eine der wirksamsten Maßnahmen. Hostnamen kennt die Standard-Policy nicht. Dafür braucht es FQDN-Regeln des CNI, etwa von Cilium.

Beispiel. Der Stealer in LiteLLM 1.107.0 schickte seine Beute an www.litellm.dev. Ein Proxy-Pod, der nur seine LLM-Anbieter und seine Datenbank erreichen darf, hätte den Versand verhindert.

Verwandt. Kubernetes, Admission Policy, Supply-Chain-Angriff