Beperk wat bereikbaar is
Stel alleen de poorten open die de service vereist. Beheerinterfaces moeten extra toegangsbeperkingen hebben. Controleer containers en IPv6-listeners naast firewallregels op hostniveau; een verborgen alternatief pad kan een verder zorgvuldig beleid omzeilen.
Beperk wat mogelijk is
Gebruik afzonderlijke servicegebruikers en nauw afgebakende inloggegevens. Vermijd het uitvoeren van een applicatie als root, tenzij deze dat recht nodig heeft. Scheid productie- en experimentele omgevingen, zodat een gecompromitteerd testhulpmiddel niet bij elk geheim kan komen.
Patch met een herstelplan
Volg ondersteunde releases, installeer beveiligingsfixes en plan noodzakelijke herstarts. Lees releaseopmerkingen van grote upgrades en test compatibiliteit. Houd een bekende goede back-up en rollback-procedure bij de hand, zodat angst voor downtime niet leidt tot eindeloos uitstel.
Meld betekenisvolle wijzigingen
Monitor authenticatiefouten, onverwachte processen, schijfgroei en applicatiefouten. Logs zijn nuttig wanneer ze een vraag beantwoorden, maar ze hebben ook retentielimieten en toegangscontrole nodig. Als compromittering wordt vermoed, bewaar bewijs dan veilig en bouw opnieuw op vanuit een vertrouwde bron.