Limita lo que se puede alcanzar
Expón solo los puertos que requiera el servicio. Las interfaces administrativas deben tener restricciones de acceso adicionales. Revisa los contenedores y los listeners de IPv6, así como las reglas de firewall a nivel de host; una ruta alternativa oculta puede eludir una política por lo demás cuidadosa.
Limite lo que se puede hacer
Usa usuarios de servicio separados y credenciales de alcance limitado. Evita ejecutar una aplicación como root a menos que necesite ese privilegio. Separa los entornos de producción y experimentales para que una herramienta de prueba comprometida no pueda acceder a todos los secretos.
Aplicar parches con un plan de recuperación
Siga las versiones compatibles, instale las correcciones de seguridad y programe los reinicios necesarios. Lea las notas de las actualizaciones importantes y pruebe la compatibilidad. Mantenga una copia de seguridad válida y un procedimiento de reversión para que el miedo al tiempo de inactividad no se convierta en un aplazamiento indefinido.
Avisa de los cambios significativos
Supervise los fallos de autenticación, los procesos inesperados, el crecimiento del disco y los errores de la aplicación. Los registros son útiles cuando responden a una pregunta, pero también necesitan límites de retención y control de acceso. Si se sospecha una intrusión, conserve las pruebas de forma segura y reconstruya desde una fuente de confianza.