Después de mirar el RPi, parece un dispositivo bastante seguro fuera de la caja, siempre que haga un par de cosas.
Las necesidades predeterminadas de usuario / pase han cambiado. Por lo menos, cambie la contraseña. Para una mejor seguridad nuevamente, cambie el nombre de usuario también. (Agregue un nuevo usuario, luego desactive PI. Verifique que ROOT también esté desactivado desde el inicio de sesión SSH, aunque creo que de todos modos es predeterminado).
Escanear el RPi devuelve solo un puerto abierto, 22, que es la conexión SSH, e incluso eso tiene que activarse antes de que se muestre (aunque la mayoría de la gente lo usará en lugar de un monitor, teclado y mouse, espero, especialmente en un servidor {web})
Puede cambiar el número de puerto SSH, pero eso no servirá de mucho, ya que puede escanearse fácilmente. En su lugar, habilite la autenticación SSH-Key.
Ahora no tiene forma de que nadie ingrese a su máquina sin la clave SSH, el nombre de usuario y la contraseña correctos.
A continuación, configure su servidor web. Apache está prácticamente donde está. Eso sentará y monitoreará el puerto 80 por defecto, y responderá automáticamente a las conexiones de los navegadores, sirviendo sus páginas web.
Si tiene un firewall o enrutador, puede cambiar los puertos RPi y hacer que el enrutador dirija el tráfico de un puerto a otro. Por ejemplo, el tráfico del puerto 80 en el enrutador se redirige al puerto 75 en el RPi, y SSH en 22 se redirige al puerto 72. Esto agregaría otra capa de protección, pero es un poco más complejo.
Mantenga todo actualizado y parcheado, obviamente.
Esto no lo protegerá de ataques que exploten java, flash, servidores SQL, etc. que podría agregar más adelante, pero eso es todo para lo básico, realmente.
También puede agregar un firewall, que ralentizará a cualquiera que ingrese a su sistema para que no salga a un puerto diferente si instala un nuevo servicio. Su enrutador debería ocuparse de eso, pero si está conectado directamente, configúrelo y, durante el tiempo que tarde, podría estar ejecutándolo de todos modos; no agregará mucho en cuanto a recursos del sistema.
Otra cosa que puede agregar es fail2ban ( http://www.fail2ban.org/wiki/index.php/Main_Page ) que agrega una regla de firewall para bloquear múltiples intentos de inicio de sesión, evitando ataques de diccionario. Aunque estos no pueden funcionar en su sistema si ha seguido lo anterior, si por alguna razón necesita dejar solo la contraseña de autenticación SSH (inicio de sesión remoto desde muchas máquinas diferentes, por ejemplo), evitará un ataque de diccionario de trabajar. Después del número de intentos que especifique, bloqueará por un tiempo más intentos de esa dirección IP. (¡Solo tenga cuidado de que no vea ningún enrutador / dirección IP local y prohíba eso demasiado pronto o por demasiado tiempo!)
Editado para agregar: una vez que tenga todo bien configurado, use una herramienta como dd o Win32DiskImager para realizar una copia de seguridad completa de su tarjeta SD. De esa manera, si algo sale mal, puede restaurarlo en la misma tarjeta o escribirlo en una nueva tarjeta, y continuar independientemente. (¡Pero si hackeado, querrás averiguar qué agujero se encontró y cerrarlo primero, tal vez!)