Борис Сёмов

Как 100% защититься от этого?

Никак. Не бывает 100% защиты.

Какие права нужны?
Какие права нужны?
В какую директорию желательно запихивать скрипты?
От какого юзера запускать nginx / php-fpm ?

Не существует рецепта на все случаи жизни, тем более, который можно было бы изложить, не в виде большой книги, а ответе на вопрос. И всё куда сложнее, чем вы вероятно, думаете.

Но есть несколько советов:
Нужен квалифицированный администратор, который настроит и будет сопровождать сервер.
Крайне желателен анализ приложения специалистом по безопасности.
Есть WAF, которые могут решить часть проблем приложения, даже если о них не известно, и в простейшем случае, можно воспользоваться, например Cloudflare, т.к. поднимать такое ПО локально, часто накладно по ресурсам.

Ну а также, там, куда можно заливать файлы, должно быть запрещено выполнения кода, на уровне конфигурации веб сервера. Т.е. надо писать нормальные конфиги. В вашем случае, вообще-то всё довольно просто - у вас же только одна точка входа - index.php в webroot, вот только он и должен выполняться через php-fpm, а не все php файлы. Ну а места, куда заливать нельзя, и это не какой-то файловый кеш, должны быть защищены на уровне прав от возможности создания файлов пользователем, от которого запущен обработчик php. Т.е. должно соблюдаться правило, если что-то не является необходимым, оно запрещено.

Также - никакого лишнего софта на сервере. Никаких phpmyadmin, дырявых панелей, ftp. Всё снаружи закрыто фаерволом. Но это всё ваш админ должен сам знать, собственно, а раз вы задаёте этот вопрос, то он вам ох как нужен.

e3-12xx, лучше v2, можно поставить. Смысл имеет - у китайцев можно бюджетно весьма взять, если не гнаться за топовым 1290. При той же частоте, фактически будет тот же i7, но на несколько тысяч дешевле.

Возможно, потребуется обновление bios только.

А применение правил действительно происходит полностью?
Не вылетает-ли это скрипт с ошибкой блокируя при этом инициализацию интерфейсов?
Не указаны-ли в нём интерфейсы, которых нет на момент его запуска, например?
Может надо запускать из post_up его, или вообще отдельно от инициализации интерфейсов?

Почитайте о taskset, и cpu affinity.

Это серия с пониженным энергопотреблением. Идентичны по характеристикам без S, но с меньшим потреблением и стоили дороже чуть-ли не вдвое когда вышли. =)
Будет меньше греться.

Win 10 умеет запоминать позицию и монитор, на котором приложение запускается из коробки.
Насколько я помню, надо отресайзить окно, чтобы оно не было на весь экран, перетащить и расположить где надо приложение и закрыть его. При следующем запуске оно должно быть в той же позиции на том же мониторе где было.

Mint неплохой вариант: и выглядит хорошо во всех вариантах, и построен на ubuntu, соответственно имеет большую базу довольно свежих пакетов, и не требует лишних телодвижений по настройке графического окружения и.т.п. Это отличный вариант в стиле поставил, и пользуешься, при этом не плюёшься от внешнего вида. =)

По вашим вариантам:
Kali инструмент для вполне определённой работы. Это не дистрибутив общего назначения. Будет неудобно использовать для чего-то кроме основного назначения.

Debian потребует времени и знаний, чтобы получить удобное окружение, то же и с Arch, и даже в большей мере - он больше ориентирован на энтузиастов.

Fedora разумный вариант но может быть местами не стабильной, и OpenSuse будет на следующем месте за ней. Это, в целом, вполне неплохие дистрибутивы для использования на десктопе.

Ну и незаслуженно нет в списке Ubuntu, где, кстати, есть больше одного DE, и внешний вид можно легко менять и довольно кардинально, если уж на то пошло. =) Если нет по какой-то причине жёсткой завязки на rpm, то Ubuntu и её производные это лучший вариант.