Укрепване на systemd unit файлове 2026: пълно ръководство за sandboxing и защита
systemd sandboxing позволява да превърнете всеки systemd unit в изолиран процес с минимален blast radius. Разглеждам директивите ProtectSystem, PrivateTmp, NoNewPrivileges, CapabilityBoundingSet, SystemCallFilter и DynamicUser, оценката с systemd-analyze security и практически hardening на nginx.service.