In modo efficace non vorrai mai che le console amministrative, le applicazioni amministrative o le applicazioni non sicure siano esposte a reti non attendibili come Internet.
È possibile eseguire queste applicazioni Web su altre porte interne o semplicemente su porte che non sono accessibili al mondo esterno o ad altre reti non attendibili, quindi accedere alle app Web tramite una VPN. Ciò consentirebbe alla VPN del server di eseguire attività di configurazione basate sul Web e / o utilizzare le app non attendibili senza esporle a Internet o reti non attendibili.
La preoccupazione è che in alcuni casi quando si aggiungono strumenti di amministrazione basati sul Web questi possono essere esposti sia alle reti esterne (non attendibili) che a quelle interne (attendibili) contemporaneamente , soprattutto se è tramite lo stesso daemon del server. Quindi vorrai fare un test per confermare che non è questo il caso.
In alternativa, ciò che alcuni fanno è eseguire due server Web diversi sullo stesso sistema (ad esempio, è possibile eseguire IIS per le app esterne sulle porte 80 e 443, quindi eseguire Apache con un'altra app su un livello elevato porta come 32443 che è bloccata da un firewall o eseguita su un indirizzo di loopback interno come 127.0.0.1. Ci sono molti modi per farlo.
Torna alla tua domanda sul rischio relativo. Il sistema con più codice / applicazioni accessibili alle reti non attendibili sarà maggiormente a rischio dalle reti non attendibili. Se si confrontano due applicazioni una accanto all'altra sarà un confronto relativo in un dato momento tenendo conto dei controlli di sicurezza in atto per ciascuna applicazione al livello di versione più recente.
In un confronto diretto tra i due seguenti:
1.) ISS + PHP + phpMyAdmin
2.) ISS + PHP + phpMyAdmin + XAMPP
Ci si aspetterebbe che la seconda combinazione abbia probabilmente più vulnerabilità in un dato momento, poiché espone efficacemente più superficie di attacco. Esistono eccezioni dove il software aggiunto aggiunge controlli di sicurezza aggiuntivi, ma in generale questo è un modo semplice per guardare la superficie di attacco esposta.
Nota: Esistono molti altri modi per risolvere il problema che stai cercando di risolvere. Puoi anche utilizzare strumenti come mod_security e l'uso di IP statici con configurazioni firewall.
Infine, devo sottolineare che non importa in che direzione vai vorresti fare molto di più per proteggere questo sistema se è esposto a Internet.