ホストベースのログ、コンテナベースの脅威：攻撃がどこから始まったのかを知る方法 from securelist.com

コンテナ化された環境は、実行中の実行ファイルのIDを受け取り、そのコマンドを実行するruncプロセスによって侵害される可能性があります。
この例は、「BuskyBox」プロセス内の実行チェーンがどのように機能するかを示しています。
上記のテストスクリプトでは、「/busybox内のsystemdプロセスはBuskyBoxに置き換えられます」と記述されており、コマンドラインにリンクしています。
実行チェーンを監視することで、不審なアクティビティを特定できます。