Durcissement ANSSI (module SécurixOS) sur toutes les machines de la flotte

- vendor modules/anssi/ depuis SécurixOS (DINUM), copy-paste explicitement
  supporté par son propre README, licence MIT
- hosts/common/base.nix: security.anssi.enable, level=intermediary,
  category=client -- remplace le bloc sysctl qui n'existait que sur le
  profil oreo (nixos_users), même valeurs, rien de plus fort
- garde systemd.coredump.enable=false + apparmor (pas couvert par le
  module ANSSI, exception R45 explicite côté Sécurix)
- ip_forward=0 (R12) n'affecte pas pxe-server, qui n'importe pas ce fichier

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

modules/anssi/ruleset.nix

@@ -0,0 +1,23 @@
+# SPDX-FileCopyrightText: 2026 Ryan Lahfa <ryan.lahfa@numerique.gouv.fr>
+#
+# SPDX-License-Identifier: MIT
+
+{ lib, ... }:
+let
+  loadRules = files: lib.mergeAttrsList (map import files);
+in
+loadRules [
+  ./preboot.nix
+  ./kernel-options.nix
+  # ./kernel.nix
+  # ./vfs.nix
+  # ./users.nix
+  # ./apparmor.nix
+  # ./selinux.nix
+  # ./journaling.nix
+  # ./runtime-minimization.nix
+  # ./hardening.nix
+  # ./nss-hardening.nix
+  # ./integrity.nix
+  # ./mta.nix
+]