つまり前者なんですよ（笑）
残念ながら

オープンソースなんだからセキュリティベンダーなる別組織の特別なソフトを用意しなければならないという発想がそもそもおかしい
作り込みがおかしいなら作り込みをなんとかすればいいわけで、寄せ集めのLinuxなら尚更、必要な対策はOSに組み込まれるべきという発想がないのは何故なんだろう？

UbuntuはCanonicalが独自に1から作ってるわけじゃないんですよ