O Firewall do Windows realmente faz apenas um trabalho efetivo, abordando até a camada 3, enquanto você deve procurar todo o caminho até a camada 7, a filtragem da camada de aplicação. A Technet declara aqui que:
With the exception of some File Transfer Protocol (FTP) traffic, Windows Firewall does not use Application layer information to statefully filter traffic.
Embora esse artigo seja para o Server 2003, o mesmo é verdadeiro para 2008. Embora não tenha usado o rdpgaurd, parece que ele só faz o monitoramento de logs em vez da inspeção de tráfego real.
Para responder à sua pergunta:
A quantidade de segurança implementada deve ser proporcional ao valor dos dados que você está protegendo. Para um servidor interno, a proteção da camada 3 pode ser suficiente, mas para um servidor voltado para o público, você deve implementar toda a segurança que puder sem prejudicar a operação. Então, na minha opinião, sim, se você se preocupa com seus clientes e com sua reputação como provedor de serviços, precisa proteger seus sistemas externos. Além disso, você deve estar usando algo especificamente projetado para tal cenário. Sem conhecer seus parâmetros operacionais e desde que você afirmou que o hardware está fora de questão, dê uma olhada na linha de produtos Microsoft Forefront. Caso contrário, a maioria dos principais fornecedores de rede / segurança (McAfee, Cisco, F5, Checkpoint, etc.) tem alguma solução de software, dependendo do seu orçamento.