É a “limada” que falta de vez em quando em alguns servers. Deletar grupos inúteis, alterar o PAM para que apenas 1 grupo possa efetuar o SU, e users que não precisam de shell -> /bin/false

No TLDP também se encontram boas matérias sobre =)
(antigas, mas de bons fundamentos)