Hardening Linux debian e controllo stato

[nobadguy]

Ciao,
mi hanno inserito un iframe in un sito hostato nel mio vps, tempo fa avevano installato dei file nasconti in /tmp che portavano il load average a 50/60 e bloccavano tutto il server.
Per fortuna ero online e il tutto è durato meno di 1 minuto.

Ora però, vorrei fare un po di hardening del sistema, cosa mi consigliate? Il linux e debian e uso apache 1.3.37 e php 4.4.7 ...

Vorrei anche controllare un po' se ci sono virus o rootkit vari installati...

Grazie a tutti!

[sacarde]

x rootkit:

chkrootkit
rkhunter
tiger

[bereshit]

http://www.debian.org/doc/user-manuals#securing

[nobadguy]

Logcheck mi manda sempre questi messaggi:

Dec 18 14:59:50 vps sshd[8853]: lastlog_filetype: Couldn't stat /var/log/lastlog: No such file or directory
Dec 18 14:59:50 vps sshd[8853]: lastlog_openseek: /var/log/lastlog is not a file or directory!
Dec 18 14:59:50 vps sshd[8853]: lastlog_filetype: Couldn't stat /var/log/lastlog: No such file or directory
Dec 18 14:59:50 vps sshd[8853]: lastlog_openseek: /var/log/lastlog is not a file or directory!
Dec 18 14:59:50 vps sshd[8853]: (pam_unix) session opened for user root by root(uid=0)
Dec 18 15:00:01 vps CRON[8856]: (pam_unix) session opened for user root by (uid=0)
Dec 18 15:00:01 vps CRON[8858]: (pam_unix) session opened for user logcheck by (uid=0)
Dec 18 15:00:01 vps CRON[8856]: (pam_unix) session closed for user root

Mi spiegate il significato di queste righe?

E poi, quali altri log dovrei monitorare con logcheck? Attualmente monitoro (si può dire??) questi:
/var/log/syslog
/var/log/auth.log
/var/log/httpd/access_log
/var/log/httpd/error_log

[nobadguy]

Sempre da logcheck:

Dec 19 23:19:26 vps proftpd[21799]: vps.***.it (210.93.57.73[210.93.57.73]) - FTP session opened.
Dec 19 23:19:26 vps proftpd[21798]: vps.***.it (210.93.57.73[210.93.57.73]) - FTP session opened.
Dec 19 23:19:26 vps proftpd[21798]: vps.***.it (210.93.57.73[210.93.57.73]) - FTP session closed.
Dec 19 23:19:26 vps proftpd[21799]: vps.***.it (210.93.57.73[210.93.57.73]) - FTP session closed.

Che vuol dire?