Всегда мониторьте и контролируйте работу инструментов, которыми пользуетесь сами.

Если у вас стоит ПО для удаленного доступа или на сервере лежит сканер сети, злоумышленники не будут тащить новые инструменты, они воспользуются тем что есть