В сети есть несколько статей как настроить несколько относительно независимых виртуальных хостов. Примеры:
раз/a>, два
Вместо ftp лучше использовать Secure copy (SCP), работающую поверх SSH.
Есть также несколько практик по безопасности непосредственно сервера: port knocking, fail2ban, изменение стандартных портов, скрытие версий ПО. Это, как правило, спасает от автоматического взлома.
Отключение потенциально опасных функций PHP, различный тюнинг CMS тоже не повредит. Например, простой перевес админки из /admin/ в /masterloginpage/ озадачит ботов, перебирающих пароли к CMS.
