1. 修改ssh服务的默认端口，这个是十分有必要的，因为密码爆破一直存在。
ssh服务的默认端口是22，一般的恶意用户也往往扫描或尝试连接22端口。所以第一步就是修改这个默认端口
打开/etc/ssh/sshd_config，
Port 22
然后将22修改为其它没有被占用的端口，如14861。
然后重启sshd即可，如何涉及到端口映射，记得把端口映射出去

#sudo /etc/init.d/ssh restart

2. 限制IP，添加白黑名单
首先修改/etc/hosts.allow文件，将可访问服务器ssh服务的客户IP加入其中，格式如下
sshd:192.168.1.0/255.255.255.0
sshd: 202.114.23.45
sshd: 211.67.67.89
然后修改/etc/hosts.deny文件，加入禁用其它客户连接ssh服务
sshd: ALL

3.升级服务器

关注服务器补丁更新，及时更新漏洞，特别是0day。

4.检查登录日志

没事多看看安全验证日志，也许你发现一些蛛丝马迹。

#more /var/log/secure

#who /var/log/wtmp

查到有蛛丝马迹的用户，切换到他的目录环境下，看一下历史执行命令

root账户下输入

#su - username

切换到username下输入

#history

能看到这个用户历史命令，默认最近的1000条