Limita ciò che può essere raggiunto
Esponi solo le porte richieste dal servizio. Le interfacce amministrative dovrebbero avere restrizioni di accesso aggiuntive. Controlla i container e i listener IPv6 oltre alle regole del firewall a livello di host; un percorso alternativo nascosto può aggirare una policy altrimenti accurata.
Limita ciò che può essere fatto
Usa utenti di servizio separati e credenziali con ambito ristretto. Evita di eseguire un'applicazione come root a meno che non richieda tale privilegio. Separa gli ambienti di produzione e sperimentali, così uno strumento di test compromesso non può raggiungere ogni segreto.
Applica le patch con un piano di ripristino
Segui le release supportate, installa le correzioni di sicurezza e pianifica i riavvii necessari. Leggi le note sugli aggiornamenti principali e verifica la compatibilità. Mantieni un backup funzionante e una procedura di rollback, così che la paura dei tempi di inattività non si trasformi in un rinvio indefinito.
Comunica le modifiche significative
Monitora i fallimenti di autenticazione, i processi inattesi, la crescita del disco e gli errori dell'applicazione. I log sono utili quando rispondono a una domanda, ma necessitano anche di limiti di conservazione e controllo degli accessi. Se si sospetta una compromissione, conserva le prove in modo sicuro e ricostruisci da una fonte attendibile.