Анализировать логи веб-сервера.

Могу поделиться логами, без проблем. Пиши, контакты есть в профиле.

Никак:
www.privoxy.org/faq/misc.html
пункт 4.15

Использовать другое решение, которое поддерживает ssl intercept, тот же squid, например. Ну или любой коммерческий вариант, типа bluecoat/websense/ironport/etc.

Какой ответ ты ждешь? Перечисление любимых систем мониторинга?
Ну возьми zabbix, если хочешь мощно и красиво. Или munin/monitorix, если хочешь полеегковеснее/попроще.

Даже платная сертификация в большинстве своем сомнительна с точки зрения полезности, а уж бесплатные бумажки уж точно ничего не стоят и не значат.
Поэтому рекомендую не углубляться в эту тему, либо проходить курсы/сдавать экзамены за счет работодателя. У меня десятка три разных платных сертификатов, стоимостью (попытки сдачи) от $100 до $650. За свой счет я бы ни за что этого не стал делать (почти все эти бумажки - реально просто бумажки), а за чужой - почему бы нет? Эдакое упражнение для поддержания в тонусе мозга, пока готовишься к тестам - тренируешь память и навык прохождения тестов.

Рекомендую посмотреть на решения Websense, BlueCoat, McAfee WebGateway.

Песни Гипериона, Илион/Олимп - Дэн Симмонс
Ложная слепота - Питер Уоттс
Пламя над Бездной, Глубина в небе - Вернор Виндж

Только если он внутри файлов раздачи. Предотвратить - никак, использовать антивирус, который мониторит файловую систему.
Ну и читать отзывы скачавших, если в раздаче вирус, то народ быстро это выяснит и будет вопить.

В таких ситуациях мне приходит в голову старая добрая аналогия с ключевыми словами "гамак" "коитус" "вертикальное положение".
Можно использовать терминалку с виндой, как вариант, но прощай мобильность "в самолете покодил, в деревне покодил после баньки".

Для такой низкой посещаемости хватит минимальной виртуалки за 5$ на digitalocean или где угодно еще. Если, конечно, код не кривой. А уж платить 10$ за шаред в наше время - просто неразумно, только если уж совсем не можешь в Linux.

А заглянуть в раздел "помощь" без чужой помощи трудно разве?

А почему бы не спросить прямо на сайте производителя?
Там и русская ветка форума есть и разработчики русскоговорящие.

Попробуй запустить бенчмарк от serverbear.com (нужно скопировать строчку из набора команд у них на сайте и запустить на vds), он среди прочего (тест диска, процессора и памяти) делает довольно подробный тест скорости скачивания с множества серверов по миру и дает потом картину, откуда какая скорость выжалась.

Карта Visa Classic или Electron?

Если не просто "поиграться", а правда важный проект, то лучше обратиться к профессионалам.
Ну а в догонку к комодо, подскажу сервис Fortify on Demand от компании Fortify (ныне принадлежит HP), он имеет бесплатную версию. Это проверка исходного кода на предмет проблем с безопасностью.

Для общесистемной защиты сервера рекомендую установить csf. Там, кстати, также есть небольшой встроенный набор "тестов" (штук 20-30) с рекомендациями по внесению изменений в настройки сервера для усиления безопасности.
Также рекомендую поставить tiger, он проводит (разовый и регулярный) аудит сервера и выявляет разнообразные "нехорошести" (как пример - наличие юзеров с UID=0, кроме root и еще много-много всяческих проверок и рекомендаций), ну и держать на сервере rkhunter и chkrootkit можно на всякий пожарный.
А общие рекомендации просты - держать минимальное количество служб, минимальное количество открытых портов, минимальное количество пользователей (при этом с минимально необходимыми правами), соблюдать чистоту (не засорять систему пакетами, особенно "левыми" и ненужными) и последовательность.
Ну и бекапы, они тоже, как ни странно, являются частью безопасности сервера. Делать бекапы данных и конфигов и держать их в сторонке (не на самом сервере).
Не забывать, что безопасность - это не результат, а процесс. Нельзя взять и "обезопасить сервер" один раз и насовсем (разве что выключив его и заперев в сейф), нужно следить за безопасностью, за актуальностью версий (особенно если в обновлениях закрыты опасные уязвимости).

Виртуальные машины предполагается выставлять в Интернет? Им нужны будут персональные публичные ip?
Если на оба вопроса ответ "да", то нужно покупать. Если на любой из вопросов ответ "нет", то не нужно. В первом случае все очевидно, во втором решается пробросом нужных портов с хост-машины.

Есть директива limit_rate, но она работает только на одно соединение, а не на ip. Если юзер сделает два - то лимит удвоится и так далее.

Указанную в впоросе - нет. Это беспомощное говно.
Более-менее приличные сертификаты получаются во всяких прометриках и pearsonvue при сдаче вендорских и независимых экзаменов, да и то, среди них многие валяются в виде дампов (но не все, например тех же CISSP/CISA/CISM нет в дампах, точнее можно накачать какие-то "дампы", но внутри под видом дампов - шлак в виде сборников тестовых-тренировочных вопросов из учебников).
Лучше потратить время на онлайн обучение:
https://www.coursera.org/
https://www.khanacademy.org/
https://www.udacity.com
знаний точно прибавится, всяко полезнее.
А получать сертификаты (вендорские и незавиимые) смысл есть только если это действительно требуют по работе, например системным интеграторам всегда нужно какое-то количество сертифицированных по тому или иному продукту/стандарту специалистов, чтобы поддерживать партнерские статусы (выступать официальным представителем вендора). Но обычно прямо на работе и посылают учиться/сдавать за счет компании без проблем, у меня таких уже три десятка сертификатов.

Бесплатные - это какие? У которых почти у всех есть платная версия? Или clamav и подобные?
Первые уж точно имеют людей в офисах, вторые развиваются как и любой open-sourсe-проект, либо на энтузиазме людей (которые 5/8 проводят в офисах каких-нибудь больших компаний), либо на спонсорах или продаже сервиса.