1. 课程导论：Cilium与eBPF背景、控制面授权测试的重要性、课程目标与受众

1.1 eBPF 技术背景与内核可编程革命

eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，允许用户在无需修改内核源码或加载内核模块的情况下，安全高效地在内核中运行沙箱化程序。eBPF 程序通过验证器确保安全性，并通过 JIT 编译器实现接近原生的执行性能。

1.2 Cilium：基于 eBPF 的云原生网络与安全层

Cilium 是一个开源项目，利用 eBPF 为 Kubernetes 提供高性能的网络、可观测性与安全能力。其核心优势在于：

• 身份感知网络策略： 基于 Kubernetes 服务身份（而非 IP 地址）定义网络策略，适应动态容器环境。
• 透明加密： 通过 WireGuard 或 IPsec 实现节点间通信加密，无需修改应用。
• 可观测性： 通过 Hubble 提供 L3/L4/L7 流量可视化与监控。
• 负载均衡： 基于 eBPF 的 XDP 加速，性能远超传统 iptables 模式。

1.3 控制面授权测试的重要性

在 Kubernetes 安全体系中，控制面（Control Plane） 是集群的大脑，包含 API Server、etcd、Controller Manager 和 Scheduler 等核心组件。控制面授权测试旨在验证：

1. 最小权限原则： 确保每个组件、用户、服务账户仅拥有执行其职责所需的最小权限。
2. 网络隔离有效性： 验证 Cilium 网络策略能否有效限制控制面组件之间的非授权访问。
3. 横向移动防御： 测试攻击者突破一个节点后，能否通过控制面漏洞横向移动到其他敏感组件。
4. 策略合规性： 确保网络策略符合企业安全基线（如 CIS Benchmark、NIST 框架）。

1.4 课程目标与受众

课程目标

完成本课程后，学员将能够：

• 理解 Cilium 网络策略的核心概念： 包括 Identity、Endpoint、NetworkPolicy、CiliumNetworkPolicy、CiliumClusterwideNetworkPolicy。
• 掌握控制面授权测试方法论： 从威胁建模、策略设计到自动化测试验证的完整流程。
• 编写生产级 Cilium 网络策略： 涵盖 L3/L4/L7 策略、基于 DNS 的策略、基于服务身份的策略。
• 构建自动化测试流水线： 使用 Cilium Connectivity Test、k6、自定义 eBPF 探针进行持续验证。
• 应对真实攻击场景： 模拟控制面横向移动、API Server 未授权访问、etcd 数据泄露等攻击路径。

目标受众