Обмежте те, до чого можна дістатися
Відкривайте лише порти, потрібні службі. Адміністративні інтерфейси повинні мати додаткові обмеження доступу. Перегляньте контейнери та прослуховувачі IPv6, а також правила брандмауера на рівні хоста; прихований альтернативний шлях може обійти інакше ретельну політику.
Обмежте, що можна робити
Використовуйте окремих користувачів служб і облікові дані з вузькими правами. Уникайте запуску застосунку від імені root, якщо йому не потрібні ці привілеї. Розділяйте робоче та експериментальне середовища, щоб скомпрометований тестовий інструмент не міг дістатися до всіх секретів.
Оновлюйте з планом відновлення
Дотримуйтеся підтримуваних випусків, встановлюйте виправлення безпеки та плануйте необхідні перезапуски. Читайте примітки до основних оновлень і перевіряйте сумісність. Тримайте перевірену резервну копію та процедуру відкату, щоб страх простою не перетворився на нескінченне відкладання.
Повідомляйте про суттєві зміни
Відстежуйте збої автентифікації, неочікувані процеси, зростання дискового простору та помилки застосунків. Журнали корисні, коли відповідають на запитання, але вони також потребують обмежень терміну зберігання та контролю доступу. Якщо є підозра на компрометацію, безпечно збережіть докази та перебудуйте з довіреного джерела.