Como posso impedir ataques de força bruta ao SSH?

Mudar a porta não é segurança por si só, mas é uma redução de ruído genuinamente eficaz: a grande maioria dos scanners automatizados só tenta a 22. Combinado com autenticação apenas por chave, o risco residual é insignificante.

O estado final correto para um servidor sensível é não ter nenhum listener SSH público. Ligue o sshd a uma interface WireGuard e a administração exige primeiro o túnel. Nada na internet pública pode sequer tentar autenticar.