Salavat Sharapov

def icon_tag(self, obj):
    if not (obj.pk and obj.icon):
            return ''
    return u'<img src="%s" />' % obj.icon.url
icon_tag.short_description = 'Icon'
icon_tag.allow_tags = True

listen 80 default_server;
listen 443 default_server ssl;

1. Отключи не используемые службы (rpcbind, nfscommon) к примеру
2. Заблокируй не используемых пользователей, проверь не имеют ли системные пользователи паролей (в /etc/shadow наличие хеша во втором поле, если имеют а доступ им не нужен ставь '!')
3. Желательно включить ssh авторизацию только по ключам, включить опцию AllowUsers со списком пользователей которым авторизироваться разрешено. Отключить авторизацию по ssh root и создать системного пользователя с оболочкой sh, без всяких привилегий. Его занести в AllowUsers, при логине выполнять /bin/su - с полным путем.
4. По возможности все используемые службы контролировать TCP Wrappers (/etc/hosts.{allow,deny})
   
5. Установить библиотеку snoopy (snoopy logger) - очень подробное логирование запускаемых процессов.
6. Соответственно настроить rsyslog/syslog-ng и перенаправлять логи желательно на сторонний сервер. Для логов есть различные веб-морды с различными отчетами и сортировками.
7. Для контроля версий конфигурационных файлов советую использовать git в /etc либо выносить под различные службы в отдельные репозитарии и, конечно, настроить правильно .gitignore. Тут же присмотрись к подсистеме событий файловой системе inotify и отличному демону incron. Он пригодиться может не только в этом пункте, с ним можно много интересных вещей контролировать.
8. По возможности настраивай все службы и сервисы в chroot окружении.
9. Iptables. Можно на нем, а можно к примеру на ipset настраивать правила. Тут все просто. Лучше сначала создай скрипт на тестовой машине. Политики по умолчанию - deny all, а дальше разрешаешь что нужно. Конкретно что то посоветовать не имеет смысла если ты как обезьянка начнешь копировать без понимания. Есть отличная литература по iptables. А дальше ищи в интернете iptables tips, примеры настройки iptables и вникай что там делают и для чего. Но не перемудри. Понимай что пакеты пробегают по всем цепочкам правил. Это нагрузно. Задумайся об использовании ipset.
   Всякие fail2ban-ы советовать не буду. Слишком спорно и не нужно если ты правильно отстроишь любой сервис работающий поверх netfilter. Так же многие хостинги из коробки имеют защиту от DDOS и брута на уровне своего железа типа ASA-к и тд.
   Периодически делай срезы tcpdump-ом (особенно в подозрительных ситуациях) и анализируй wireshark-ом.
10. Постоянные бэкапы, хоть rsync, fsbackup, unison, bacula и тд - выбор большой

root@server:/home/server# iperf -s
------------------------------------------------------------
Server listening on TCP port 5001
TCP window size: 85.3 KByte (default)
------------------------------------------------------------
[  4] local [server_ip] port 5001 connected with [ip] port 49262
[ ID] Interval       Transfer     Bandwidth
[  4]  0.0-10.5 sec  57.9 MBytes  46.1 Mbits/sec

root@server:/home/server# iperf -c [server_ip]
------------------------------------------------------------
Client connecting to [server_ip], TCP port 5001
TCP window size: 22.7 KByte (default)
------------------------------------------------------------
[  3] local 192.168.1.2 port 49262 connected with [server_ip] port 5001
[ ID] Interval       Transfer     Bandwidth
[  3]  0.0-10.2 sec  57.9 MBytes  47.7 Mbits/sec