Un DaemonSet è un workload Kubernetes che garantisce l'esecuzione di un pod su ogni nodo selezionato in un cluster. Quando i nodi vengono aggiunti o rimossi, Kubernetes pianifica o elimina automaticamente quei pod, così la copertura resta coerente in tutto l'ambiente.
I DaemonSet sono importanti per la sicurezza perché molti agenti necessitano di visibilità a livello di nodo: sensori runtime, agent di raccolta log, monitor di rete e strumenti di hardening dell'host vengono spesso distribuiti in questo modo. Un DaemonSet consente ai difensori di raccogliere eventi da ogni nodo senza installare manualmente il software su ogni macchina. Negli attacchi, lo stesso schema può essere utile a un avversario che ottiene il controllo del cluster, perché un DaemonSet malevolo può collocare un container su ogni nodo per persistenza, ricognizione o intercettazione del traffico. Per questo motivo, i team dovrebbero monitorare chi può creare o modificare i DaemonSet, esaminarne i mount dell'host e i privilegi, e confrontare i pod in esecuzione con gli strumenti di sicurezza approvati.