Кто-то открыл успешно соединение на порт 22, но совсем не факт, что он продвинулся дальше. Скорее всего - сидят, перебирают пароли. А вообще - закрыть вход по паролю и оставить только авторизацию по ключу, и пусть пробуют подобрать до морковкиного заговенья :).