É claro que qualquer serviço que você tenha aberto aumentará sua superfície de ataque vulnerável. O que executa por trás desses serviços determinará quão seguro e inseguro você se tornará. Se você escrever scripts PHP inseguros e hospedá-los em seu novo site Apache, o mundo poderá (e irá!) Explorá-los. Você deve considerar seriamente o que está disponibilizando e a segurança dos scripts que executam seu site.
Se isso for apenas para desenvolvimento, você pode considerar o bloqueio do acesso à porta 80, exceto de determinados IPs que você sabe que precisam se conectar de volta a você. Como fazer isso é freqüentemente respondido no ServerFault .
O fato de a porta ter sido escaneada por um serviço que você não executa não é surpreendente. Se eles tivessem encontrado o webdav, o próximo passo seria verificar se há vulnerabilidades conhecidas que você não corrigiu. O mesmo acontecerá com qualquer software que você hospede. Se você colocar uma versão antiga de algum CMS e não consertá-lo, ele será digitalizado e explorado.