Limitez ce qui peut être atteint
N'exposez que les ports requis par le service. Les interfaces d'administration doivent bénéficier de restrictions d'accès supplémentaires. Examinez les conteneurs et les écouteurs IPv6 ainsi que les règles de pare-feu au niveau de l'hôte ; un chemin alternatif dissimulé peut contourner une politique par ailleurs rigoureuse.
Limiter ce qui peut être fait
Utilisez des utilisateurs de service distincts et des identifiants à portée étroite. Évitez d'exécuter une application en tant que root, sauf si elle nécessite ce privilège. Séparez les environnements de production et d'expérimentation afin qu'un outil de test compromis ne puisse pas atteindre tous les secrets.
Appliquez les correctifs avec un plan de récupération
Suivez les versions prises en charge, installez les correctifs de sécurité et planifiez les redémarrages nécessaires. Lisez les notes de mise à niveau majeures et testez la compatibilité. Conservez une sauvegarde fiable et une procédure de restauration afin que la crainte des interruptions ne se transforme pas en report indéfini.
Signaler les changements importants
Surveillez les échecs d'authentification, les processus inattendus, la croissance du disque et les erreurs applicatives. Les journaux sont utiles lorsqu'ils répondent à une question, mais ils nécessitent aussi des limites de rétention et un contrôle d'accès. En cas de compromission suspectée, préservez les preuves en toute sécurité et reconstruisez à partir d'une source fiable.