И не увидишь. Хороший хакер прежде всего озабоится об сокрытии своего присутствия.

Это только первый шаг.
Второй - выключи явно все сервисы, которые включены и назначение которых ты не знаешь. Выключи явно все сервисы, назначение которых ты знаешь, но полагаешь, что они тебе в данный момент не нужны. То есть "минимизируй" систему.
Третий - выключи на файрволе явно вообще весь трафик, как входящий, так и исходящий, кроме ssh, а его, sshd, переведи на иной порт. Всё остальное - регистрируй. Подозрительная активность выявится сразу. 
По этой активности - принимай решение допустим ли трафик или от злыдня какого идет. Если от злыдня - прибивай приложение.

Тихо стучащий в соседней (запертой тобой) комнате принтер - вот основа компьютерной безопасности. А дальше - читать логи и думать.
Под "принтером" можно понимать и отдельный syslog-компьютер (компьютер, на которые все сообщения syslog'а отливаются принудительно, по мере их появления).

Таки ковырял-ковырял и нашел дыручерез которую упырь влез в систему... Старый, давно не обновляемы vbulletein... Через него-то и был влит shell ... Только толи хакер ступил, толи забыл, но весь вой инструментарий так и оставил в папке с воблой... Интересно таки... А по поводу всего вышенаписанного вами, так я сделал следующее... Стопорнул все VE на сервера, обновил host-систему, обновил ядра на всех VE, похаканную VE тупо удалил, создал новую, оставил доступными порты 80 и 2222, при чем логин порт 2222 разрешил только с известных ip, лигин root-а по ssh запретил... Далее в iptables запрещен весь трафик по всем портам, кроме 80 и 2222, ну и соответсвенно обновлены все веб приложения...