限制可访问范围
仅开放服务所需的端口。管理界面应附加访问限制。除主机级防火墙规则外，还要审查容器和 IPv6 监听器；隐藏的替代路径可能绕过原本谨慎的策略。
限制可执行的操作
使用独立的服务用户和范围严格受限的凭据。除非应用确实需要 root 权限，否则避免以 root 身份运行。将生产环境和实验环境分开，以免被攻破的测试工具能够访问所有密钥。
在制定恢复计划后进行修补
跟进受支持的版本，安装安全修复并安排必要的重启。阅读主要升级说明并测试兼容性。保留已知良好的备份和回滚流程，以免对停机的恐惧变成无限期拖延。
通知重要变更
监控身份验证失败、意外进程、磁盘增长和应用程序错误。日志在能回答问题时才有用，但也需要保留限制和访问控制。如果怀疑遭到入侵，请安全保存证据并从可信来源重建。