到達可能な範囲を制限する
サービスの必要とするポートのみを公開してください。管理インターフェースには追加のアクセス制限を設けるべきです。コンテナや IPv6 のリスナーに加え、ホストレベルのファイアウォールルールも確認してください。隠れた代替経路は、慎重なポリシーを迂回する可能性があります。
実行できることを制限する
サービスごとに別のユーザーと範囲を限定した認証情報を使用してください。特権が必要な場合を除き、アプリケーションを root で実行することは避けてください。本番環境と実験環境を分離し、侵害されたテストツールがすべての機密情報に到達できないようにしてください。
復旧計画を伴うパッチ適用
サポート対象のリリースに従い、セキュリティ修正をインストールし、必要な再起動を計画してください。メジャーアップグレードの注意事項を読み、互換性をテストしてください。ダウンタイムへの恐れが無期限の先送りにならないよう、正常動作が確認されたバックアップとロールバック手順を維持してください。
重要な変更を通知する
認証の失敗、予期しないプロセス、ディスクの増加、アプリケーションエラーを監視します。ログは疑問に答えるときに役立ちますが、保持期間の制限とアクセス制御も必要です。侵害が疑われる場合は、証拠を安全に保全し、信頼できるソースから再構築してください。