Скрытая телеметрия обычно уходит как обычный HTTPS — firewall по портам её не отличит. В Kubernetes задайте default-deny egress на eBPF, затем разрешайте конкретные назначения и порты. Cilium NetworkPolicy и Hubble помогают применять политики и видеть потоки. DNS/FQDN allowlist требует контролируемого DNS: иначе приложение попробует уйти через сторонний резолвер или DoH. NetworkPolicy для Pod не заменяет фильтрацию host endpoint: трафик node-процессов и hostNetwork workload проверяйте отдельно. Ограничьте hostNetwork и privileged-контейнеры через admission policy. Обычная L3/L4-политика не читает TLS payload; содержимое очищайте локально до передачи внешнему сервису. Метрики приёмки: 100% прикладных namespaces под egress-политиками, ноль неизвестных внешних назначений в baseline, denied flows и outbound bytes с разбивкой по namespace; node egress учитывайте отдельно. Сравнивайте cloud egress (объём × тариф) плюс лицензии агентов и хранение с локальным диском, uplink и эксплуатацией. Вс...