Соответствующих продуктов всё прибывает, в связи с чем наболел вопрос об их необходимости и подводных камнях при использовании.

только сканер по требованию для проверки скачанного для форточек

надо включить только - выбирай selinux, apparmor (меньше удобен) - вот только неудобно это.
Еще можно sandbox использовать.