Psq

fail2ban - избавит от брута (перебора паролей).
Отключение сервисов, iptables - если нужно полностью изолировать все соединения.
Уменьшить возможное влияние - перестать использовать рут и запретить его подключение по SSH (как минимум).

html css js - файлы, которые загружаются клиенту, для корректного отображения страницы.
Через .htaccess вы ограничиваете доступ к файлам, и, соответственно если указываете эти расширения, то вы ограничиваете доступ к сайту всем (Deny from all).

Поскольку эти данные загружаются пользователю (и должны загружаться) у вас нет возможности ограничить к ним доступ полностью.
Единственный вариант, против "глупых" пользователей, это перехват "быстрых клавиш" (пример - изменение текста при нажатии Ctrl+C). Умные, в свою очередь, либо откроют инструменты разработчика, либо просто используют утилиту для скачивания сайтов (например, wget).

Upd: Почитайте про обфускацию: https://habrahabr.ru/company/xakep/blog/128741/