всем привет купил себе vps с трафиком 2 гига, поставил дебиан 9, поставил vnstat и переместил dante и ssh на нестандартный порт. Впринципе не пользовался , потихонечку настраивал и вот вижу что был сгенерен трафик за 26 число более 300 метров по vnstat. Перелопатил все логи, ни каких установок, логинов и вариантов что взломали не нашел. Не подскажите куда копать ?

1. Можно ли еще узнать что за id сервиса сгенереловало раньше, или хотя бы в будущем.

2. какие шаги предпринять по защите от взлома, ssh на нестандартный и вход по сертификату сделал. rkhunter ни чего не нашел.

Трафик на получение