backup,media: add backup and find media modules

Backups are xz-compressed tar archives saved under /opt/backup and
made immutable to prevent accidental changes/deletion

The find_media module can be used to search for unauthorized media
files, and is disabled by default

all: separate script into modules

Separated the sections of the script into individual modules to make it
easier to choose which to run.

hide-hardware: remove hide-hardware.sh

The script may provide some additional privacy, but it's outside the
scope of a hardening script that's intended for competitions where the
red team doesn't need to be particularly subtle. There isn't much point
in including it.

sandbox: Improve systemd template overrides

Improved templates to make breakage less likely and rely less on
newer systemd features to provide security. Tested with v239 as the
earliest version, but should still work with earlier versions as well.

Exposure levels from `systemd-analyze security` on v252 (scale is
from 0-10 with lower being more secure)
- nginx: 2.3 OK
- apache2: 2.2 OK

Initial commit