Kiểm soát Egress chống rò rỉ dữ liệu (Exfiltration Control)

Phần lớn hệ thống chỉ giám sát traffic đi VÀO, trong khi bước tiếp theo của một workload bị chiếm quyền là gọi RA ngoài để tải payload giai đoạn hai hoặc gửi dữ liệu đi; giải pháp là egress default-deny với allowlist tường minh, thực thi bởi một identity-aware proxy kiểm tra cả destination lẫn SNI/hostname TLS, và DNS bị ép đi qua resolver có ghi log.