all: separate script into modules

Separated the sections of the script into individual modules to make it
easier to choose which to run.

hide-hardware: remove hide-hardware.sh

The script may provide some additional privacy, but it's outside the
scope of a hardening script that's intended for competitions where the
red team doesn't need to be particularly subtle. There isn't much point
in including it.

sandbox: Improve systemd template overrides

Improved templates to make breakage less likely and rely less on
newer systemd features to provide security. Tested with v239 as the
earliest version, but should still work with earlier versions as well.

Exposure levels from `systemd-analyze security` on v252 (scale is
from 0-10 with lower being more secure)
- nginx: 2.3 OK
- apache2: 2.2 OK

Initial commit