improve 'removes' filtering by adding 'keeps'

xenial images began including 'linux-base' and that package
would match the linux-* that was getting purged.

The fix here is to add a whitelist that will not be removed.
linux-base is the only thing in it for the moment.