0
На своём опыте: сразу после создания дропа — меняю порт ssh, отключаю вход по паролю (только ключи). Потом ufw: разрешаю только нужные порты (новый ssh, 80/443 если веб). Fail2ban для самых настырных. И unattended-upgrades, чтобы патчи сами подтягивались. Этого реально хватает для простого vps.