Ограничьте то, до чего можно добраться
Открывайте только порты, необходимые сервису. Административные интерфейсы должны иметь дополнительные ограничения доступа. Проверяйте контейнеры и слушатели IPv6, а также правила брандмауэра на уровне хоста; скрытый альтернативный путь может обойти в остальном тщательную политику.
Ограничьте возможные действия
Используйте отдельные сервисные учётные записи и узко ограниченные учётные данные. Не запускайте приложение от имени root, если ему не нужны такие привилегии. Разделяйте рабочие и экспериментальные среды, чтобы скомпрометированный тестовый инструмент не мог получить доступ ко всем секретам.
Обновляйте с планом восстановления
Следуйте поддерживаемым выпускам, устанавливайте исправления безопасности и планируйте необходимые перезапуски. Читайте примечания к крупным обновлениям и проверяйте совместимость. Держите проверенную резервную копию и процедуру отката, чтобы страх простоя не превратился в бесконечную отсрочку.
Сообщайте о значимых изменениях
Следите за сбоями аутентификации, неожиданными процессами, ростом дискового пространства и ошибками приложений. Логи полезны, когда отвечают на вопрос, но им также нужны ограничения хранения и контроль доступа. При подозрении на компрометацию безопасно сохраните доказательства и пересоберите систему из доверенного источника.