是否有办法防止根用户修改内核和引导加载程序？

Question

假设一个普通的linux机器被获得根shell的攻击者破坏，他可以修改系统内核或修改引导加载程序来加载另一个内核。

是否有办法防止这种修改？

我想在普通pc上安装只有一个普通硬盘的普通linux操作系统(而不是容器)时禁用这些功能。我不想使用像cdrom这样的只读媒体。

一个粗略的理论解决方案是修补内核，不允许修改MBR和另一个硬盘区域(可能是分区)，并在该区域存储内核和引导加载程序文件。

Answer 1

是否有办法防止内核或引导加载程序修改根部？

否；

"UEFI安全引导“可以阻止远程攻击者坚持重新启动，但他们可以在每次重新启动时重新进行黑客攻击。本地用户只需使用

mokutil -#-import my_signing_key_pub.der

才能完全控制。最好的缓解措施是深入使用IDS。