Os básicos de segurança que quase todo servidor ainda não tem

A maioria dos servidores não cai por ataques sofisticados. Cai por um bot tentando "admin/admin" cem mil vezes e encontrando no fim uma porta que alguém deixou aberta.

O que realmente é explorado

Força bruta contra SSH e e-mail. Vemos milhares de tentativas por dia em cada servidor que gerenciamos: automatizadas, incansáveis e perfeitamente bloqueáveis.

Software que ninguém atualizou. Um plugin velho ou uma biblioteca sem patch é por onde a maioria dos sites cai. Não há engenhosidade: o exploit é público e um bot está procurando.

Credenciais no lugar errado. Senhas em um arquivo dentro da raiz web, chaves subidas para um repositório, usuários de banco com muito mais permissão do que precisam.

# Lo que frena la mayoria de los ataques reales
PermitRootLogin no          # nadie entra como root
PasswordAuthentication no   # solo llaves
 
# fail2ban: bloquea al que insiste
maxretry = 3
bantime  = 3600

A que te salva

Os backups. Não porque previnem algo, mas porque são a diferença entre uma tarde ruim e um negócio fechado. Fora do servidor, automáticos e testados: um backup não testado é um palpite.

Cada recuperação que já fizemos se resumiu à mesma pergunta: existe backup e ele funciona? Todo o resto é negociável.