最低限: rootログイン禁止、公開鍵認証必須化
気持ち程度マシ: rootログイン禁止、公開鍵認証必須化、hosts.allow
この辺までやるのが普通: rootログイン禁止、公開鍵認証必須化、denyhostsやfail2banのような自動化されたブルートフォース対策
ここまでやれば安心: rootログイン禁止、公開鍵認証必須化、denyhostsやfail2banのような自動化されたブルートフォース対策、sshポート変更
こんなところですな