Насколько безопасен Debian «из коробки»?
Для общесистемной защиты сервера рекомендую установить csf. Там, кстати, также есть небольшой встроенный набор "тестов" (штук 20-30) с рекомендациями по внесению изменений в настройки сервера для усиления безопасности. 
Также рекомендую поставить tiger, он проводит (разовый и регулярный) аудит сервера и выявляет разнообразные "нехорошести" (как пример - наличие юзеров с UID=0, кроме root и еще много-много всяческих проверок и рекомендаций), ну и держать на сервере rkhunter и chkrootkit можно на всякий пожарный. 
А общие рекомендации просты - держать минимальное количество служб, минимальное количество открытых портов, минимальное количество пользователей (при этом с минимально необходимыми правами), соблюдать чистоту (не засорять систему пакетами, особенно "левыми" и ненужными) и последовательность. 
Ну и бекапы, они тоже, как ни странно, являются частью безопасности сервера. Делать бекапы данных и конфигов и держать их в сторонке (не на самом сервере). 
Не забывать, что безопасность - это не результат, а процесс. Нельзя взять и "обезопасить сервер" один раз и насовсем (разве что выключив его и заперев в сейф), нужно следить за безопасностью, за актуальностью версий (особенно если в обновлениях закрыты опасные уязвимости).
Достаточно безопасен. Если вы не имеете опыта в администрировании, то менять ничего не стоит. Лучшим решением будет оставить "из коробки".