Efter att ha tittat på RPi verkar det som en ganska säker enhet ur lådan, så länge du gör ett par saker.
Standardanvändarnas / passbehovet har ändrats. Ändra åtminstone lösenordet. För bättre säkerhet igen, ändra också användarnamnet. (Lägg till en ny användare och inaktivera sedan PI. Kontrollera att ROOT också är inaktiverat från SSH-inloggning, men jag tror att det är som standard.)
Skanning av RPi returnerar bara en öppen port, 22, vilket är SSH-anslutningen, och även den måste vara påslagen innan den visas (även om de flesta kommer att använda den istället för en bildskärm, tangentbord och mus, förväntar jag mig, särskilt på en {web} -server)
Du kan ändra SSH-portnummer, men det kommer inte att göra mycket, eftersom det kan skannas port tillräckligt enkelt. Aktivera istället SSH-Key-autentisering.
Du har nu inget sätt för någon att komma in i din maskin utan rätt SSH-nyckel, användarnamn och lösenord.
Ställ sedan in din webbserver. Apache är ganska mycket där det är. Det kommer att sitta och övervaka port 80 som standard och automatiskt svara på anslutningar från webbläsare, betjäna dina webbsidor.
Om du har en brandvägg eller router kan du ändra RPi-portarna och låta routern styra trafik från en hamn till en annan. Till exempel omdirigeras port 80-trafik till routern till port 75 på RPi och SSH på 22 omdirigeras till port 72. Detta skulle lägga till ytterligare ett lager av skydd, men är lite mer komplicerat.
Håll allt uppdaterat och lappat, uppenbarligen.
Detta skyddar dig inte från attacker som utnyttjar java, flash, SQL-servrar, etc. som du mycket väl kan lägga till senare, men det är det för grunderna, verkligen.
Du kan också lägga till en brandvägg som saktar ner alla som kommer in i ditt system från att komma ut i en annan port om de installerar en ny tjänst. Din router borde hantera det, men om den är direktansluten, ställ sedan in den, och hur länge det tar kan du lika gärna köra den ändå - det kommer inte att lägga mycket i vägen för systemresurser.
En annan sak du kanske vill lägga till är fail2ban ( http://www.fail2ban.org/wiki/index.php/Main_Page) som lägger till en brandväggsregel för att blockera flera inloggningsförsök, vilket förhindrar ordlistaattacker. Även om dessa inte kan fungera på ditt system om du har följt ovanstående, om du av någon anledning behöver lämna lösenordet bara SSH-autentisering (du fjärrloggar till exempel från många olika datorer) kommer det att förhindra en ordbokattack från att arbeta. Efter antalet försök som du anger, kommer det att blockera några fler försök från den IP-adressen. (Se bara till att den inte ser någon router / lokal IP-adress och förbjud den för tidigt eller för länge!)
Redigerad för att lägga till: När du har fått allt klart snyggt, använd en verktyg som dd eller Win32DiskImager för att ta en fullständig bitvis backup av ditt SD-kort. På det sättet, om något går fel, kan du återställa det till samma kort eller skriva det till ett nytt kort och fortsätta oavsett. (Men om du hackas vill du ta reda på vilket hål som hittades och stäng det först, kanske!)