Een aantal dingen waar ik aan denk: - Ik weet dat je public key authentication moet gebruiken en password login uit moet zetten voor SSH. - Maar is dat voldoende? is Fail2Ban goed genoeg, of toch maar dat port knocking inzetten? - En je standaard TLS configuratie gebruikt zwakke ciphers, maar wat is nog meer standaard zwak? - ICMP ja/nee? Het zou kritiek zijn voor IPv6. Is het echt zo gevaarlijk, gezien het vaak gewoon aan staat? - Er is HTTP op poort 80 voor HTTPS redirect of voor certificate challenges. Beter wel dan niet, toch? Een muur van directe antwoorden: Je moet het splitsen in twee onderdelen: de host (OS / webserver / etc) en de website(s). De host kan je inderdaad zeer goed beveiligen, beperk management tot 2 of 3 IP's en gebruik inderdaad minimaal pubkey authenticatie. Mocht je het beter willen, gebruik MFA (bv TOTP of beter, Yubikeys / FIDO2) bij het inloggen. Zorg voor een regelmatig update regime of nog beter auto-update voor alles behalve major versions (monitor dit ook). Draai webserver ...