Medidas de seguridad, las que me estan funcionando ahora mismo [2018-10-13]:
Localizar fichero modificados en bash: $ find /home/xxx/ -name "*.php" -ctime 0 -print

En php habilitar la directiva de subida de fichero: file_upload = off (este para los joomla funciona muuuy bien, es prefible que los ficheros sean subidos a un una ruta externa, por ejemplo un subdomonio))

Script (ejecutado con *) que me hice para tratar de cazar una rata: Si detecto un cambio, cambio el .htaccess por uno prefabricado (así el log del apache estará más limpio para poder analizar).

#!/bin/bash
#
# junter3   Cazador de juanquers que modifican ficheros
#
# Author:   Mercenario <joseabel@xxxxxxxx.net>.
#

echo "Cazador de Juanquers modificadores de ficheros"

# Directorio a seguir los cambios
dir=/home/conservatoriopc/public_html/

# Fichero de volcado
log=/root/junter/junter3.txt

echo "Let's go Junter"

# Compruebo cambios cada x segundos
while sleep 1800;
do
  sDir=`find /home/conservatoriopc/ -name "*.php" -mmin -90 -print`

  if [ "${sDir}" != "" ]; then
    #echo $sDir

    /usr/sbin/sendmail -i joseabel@xxxxx.com <<END

Subject: hacks

Archivos modificados:
$sDir
END

    rm /home/conservatoriopc/public_html/.htaccess >> null
    cp /home/conservatoriopc/public_html/htaccess /home/conservatoriopc/public_html/.htaccess

  else
    echo "Vacio" >> null
    echo "null"
  fi
done
exit 0

También otro del que estoy orgulloso que es para ver los visitantes reales que están conectados en una fuente de video RTMP (vamos, quien estaba chupando video en un retransmisión online).

3 cosas sobre seguridad de servidores (BASE):
1- fail2ban (implementado lista de seguridad con listas de seguridad como abuseipdb)
2- Bloquear bloques de IPs directamente (según https://github.com/vlcty/Blocklist.de-Sync/blob/master/blocklist-update.sh)
3 - Script propio* para meter en iptables las ips que detectas que te estan atacando.

*El script manual que más uso (mentira, solo agrego ips que me tocan los eggs)
root@lenny [~]# cat ipblock
#!/bin/bash
iptables -A INPUT -s 163.172.43.208 -j DROP

Para agregar una usar el echo >>

Por último, quizás mi mejor mantenimiento (se llama vaider):
top - 15:51:54 up 1539 days,  1:35,  1 user,  load average: 1.72, 1.83, 1.99
Tasks: 248 total,   1 running, 247 sleeping,   0 stopped,   0 zombie

Tengo pendiente lo de las copias de seguridad de servidor "onfly", duplicar el servidor es lo suyo, pero a mi no me ha hecho falta aún, aunque también lo realizo.

Para copias de seguridad he usado duplicity (https://github.com/jabelr/duplicityBackup), copia incremental pura y dura de todo lo que quieras totalmente cifrado, lo que no he probado ha sido a recuperarlo por partes (es lo que tiene no tener tiempo para hacer pruebas).

Ale, este es PARTE de mi CV en sistemas GNU/linux, también tengo otras* :)

* Me acuerdo la de establecer a espacio 0 la cuenta para evitar cambios que me comento el galleguiño.