Siết systemd service bằng unit file: namespace + seccomp trước khi exec

Unit file khai báo → systemd dựng namespace/seccomp → exec vào sandbox → chấm điểm rồi vá dần