Смотрите вывод netstat -apn | grep ":22"
Вот пример легитимного исходящего соединения, инициированный командой ssh, pid 12690:
tcp 0 0 your_ip:46324 remote_ip:22 ESTABLISHED 12690/ssh
Вот такое соединение выглядит сомнительно, т.к. его инициировало какое-то левое приложение, таких записей может быть очень много:
tcp 0 0 your_ip:46324 remote_ip:22 ESTABLISHED 12690/php
tcp 0 0 your_ip:46224 remote_ip:22 ESTABLISHED 12692/php
Далее по PID смотрите что за приложение, от какого пользователя работает, как запускается (cat /proc/${PID}/cmdline), какие у него открытые файлы (lsof) и т.д.
