[BuGfiX]

Найти негодяя лего с помощью tcpdump:
tcpdump -c 1000 -n 'dst port 21'
Далее заблокировать фаерволом:
iptables -A INPUT -p tcp -s 1.2.3.4 --dport 21 -j DROP

Как вариант - можно ограничить количество коннектов в заданный интервал времени, например так:

Код:

iptables -A INPUT -p tcp --dport 21 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 21 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 -j DROP
iptables -A INPUT -p tcp --dport 21 -j ACCEPT