Eu não posso fazer cara ou coroa de "Por que muitos atacantes encontram soluções para interceptar sysadmins?", porque eu nunca soube que hackers "capturassem sysadmins", além da engenharia social muito comum. Os honeypots destinam-se a afastar os amadores dos principais alvos. Eles são inúteis contra um hacker habilidoso.
Nunca conseguiremos fazer melhor do que jogar catchup com hackers habilidosos, assim como nunca poderemos estar à frente dos criadores de vírus. Acredito que as coisas mais valiosas que você pode ter são backups confiáveis e um bom plano de recuperação de desastres. Dessa forma, se você se tornar vítima, ou mesmo sofrer qualquer outro tipo de desastre, você tem uma boa chance de voltar ao normal.
Para mim, um dos componentes mais importantes no bloqueio de ataques externos é um bom firewall. Não apenas um monte de regras estáticas, mas uma que responde ativamente a ameaças (por exemplo, Smoothwall com o complemento Guardian). Um erro comum é instalar um firewall e pensar que isso é tudo. Como qualquer outra parte do sistema, um firewall precisa ser monitorado e ajustado como e quando necessário e nunca deve ser tomado como garantido.
Quanto a tentar detectar tentativas de invasão, há várias coisas que você pode fazer, como o monitoramento de registros. Não apenas navegando manualmente, mas também um sistema automatizado para avisar sobre anomalias. É preciso um pequeno esforço para criar, já que ele precisa ser personalizado para sua configuração específica, mas vale a pena o esforço.