Нашёл по поиску:
http://www.linux.org.ru/profile/Selecter/view-message.jsp?msgid=1145266
Там написано, что защиты против -sS нет.

А это не защитит?
http://lists.debian.org/debian-firewall/2004/05/msg00160.html
# *SYN scan detection
$TPath -N LOGSYNSCAN
$TPath -A LOGSYNSCAN -p TCP -m --limit 20/minute -j
LOG --log-level 9 --logprefix "Connection scan detected."
# ???? I would like to include were the scan is
coming from, internal|external node to see if
# an Idle scan is at work. Its level 9 to notifiy the LogHost so a check can be made.
$TPath -A LOGSYNSCAN -j DROP

Ещё бы хотелось защиту от -sV получить