Согласен, просто ufw или pf сейчас уже не спасают, особенно с новыми дырками в ядрах. Аппармор и селинукс пока что лучше активировать, хотя по ним тоже надо разбираться, чтоб не перестараться. Обновления — это must, но без дополнительного контроля логов и хотя бы базового аудита банально рискуешь. По BSD — да, там своя атмосфера и аккуратный подход, но и там ничего сверхъестественного, просто чуть другая философия и стабильность.