> Ну против брута ssh есть довольно простые средства вроде denyhosts.

главное, иметь запасного админа, когда оно тебя же и заденаит, ага.
(кстати, кто проводил аудит этого денайхоста и нет ли там уязвимости похлеще - ну типа каких-нибудь "интересных" юзернеймов ему скормить или еще чего-нибудь, что можно записать в логи?)

> Насчет уязвимостей в вебне сейчас можно заюзать тот же docker.

если тебе платят за то что крутится внутри - совершенно все равно, что твой мега-секьюрный хост не поломали вместе с контейнером - при правильной системе архивов, даже восстанавливать не сложнее.

А вот поддерживать в актуальном и попатченном состоянии сто контейнеров _в_довесок_ еще к десятку хостов - уже довольно задалбывающе.

И это только два вектора атаки, а их еще можно придумать мильен с тыщами.

Понятно, что есть много разных способов уменьшить поражаемую площадь, и ими приходится пользоваться, но это совсем не повод расслабляться с мыслью "а-а, эксплойт локальный, не чешусь".

P.S. кстати о векторах - что-то я не уверен за счастливых пользователь rhel. Есть подозрение, что там именно доступ через /proc перекрыт, а race остался.