Обычно хватает двух простых правил: root — строго по ключу и никакого пароля, плюс фиксить все обновления по расписанию. Все остальное — уже для фанатов и карьеристов корпоратов, кто любит смаковать конфиги до последней строчки. Хоть и банально, но работает как часы и меньше геморроя.