พาร์ทิชันสำหรับบูตของฉันมีการเปลี่ยนแปลงอย่างไรและจะป้องกันได้อย่างไร

ในฐานะที่เป็นมาตรการตอบโต้ต่อภัยคุกคามความปลอดภัยฉันได้เขียนสคริปต์เล็ก ๆ น้อย ๆ ที่คำนวณ MBR และการตรวจสอบการบูตแล้วเปรียบเทียบกับสคริปต์เก่า ตราบใดที่คอมพิวเตอร์ยังทำงานอยู่นี่ก็โอเค แต่เมื่อฉันรีสตาร์ทมันเช็คซัมจะเปลี่ยนไป

คำถาม - อะไรคือสาเหตุของการเปลี่ยนแปลงและวิธีการป้องกัน?

รายละเอียด:

openSUSE 13.2, noatime สำหรับ/bootset, boot parition เป็นพาร์ติชั่นแยกต่างหาก (ไม่ใช่แค่ไดเร็กตอรี่ใน root filesystem), พาร์ติชั่นจะถูก unmount ทันทีหลังจากที่ฉันล็อกอินและมันเป็นขั้นตอนแรกก่อนการคำนวณ checsum

สคริปต์:

#!/bin/sh

sudo umount /boot
# MBR
sudo dd if=/dev/sda bs=512 status=noxfer count=1 | sha1sum | diff bootcheck_mbr.sha1 -
MBR_RES=$?
# boot partition
sudo dd if=/dev/sda1 bs=1M status=noxfer | sha1sum | diff bootcheck_boot.sha1 -
BOOT_RES=$?

if [[ $MBR_RES -ne 0 ]] || [[ $BOOT_RES -ne 0 ]]
then
  kdialog --sorry "WARNING:\nBoot disk is changed." --title "BOOT CHECK" --geometry 0x0++300+400
else
  kdialog --title "Boot check" --passivepopup "The disk is unchanged." 25 --geometry 0x0++300+400
fi

# tune2fs -l $(df -P /boot | awk 'NR==2 {print $1}') | grep Last
Last mounted on:          /boot
Last mount time:          Mon Mar 30 10:40:08 2015
Last write time:          Mon Mar 30 10:40:08 2015
Last checked:             Mon Mar 30 10:40:01 2015

ทุกครั้งที่คุณเมานต์พาร์ติชันอ่าน - เขียนเวลาการเมานต์ล่าสุดจะถูกอัพเดต (อย่างน้อยสำหรับระบบไฟล์ ext2 / ext3 / ext4) หากคุณไม่ต้องการให้เกิดขึ้นให้เมานต์แบบ/bootอ่านอย่างเดียวยกเว้นเมื่ออัปเกรด bootloader หรือเคอร์เนลของคุณ

MBR มักจะไม่ได้รับการอัปเดตยกเว้นในการอัปเกรด bootloader (และบ่อยครั้งที่ยังไม่ถึง) เหตุผลที่ใช้กันทั่วไปสำหรับการเปลี่ยนแปลง MBR คือถ้าคุณมีระบบดูอัลบูตและคุณได้กำหนดค่า bootloader ของคุณให้บันทึกระบบบูตล่าสุดเพื่อให้เป็นค่าเริ่มต้นในครั้งถัดไปหรือคุณได้รับคำสั่งให้รีบูตเครื่อง ระบบที่แตกต่าง (เช่นกับgrub-set-default)

จำนวนความปลอดภัยที่คุณได้รับจากการตรวจสอบเหล่านี้มีน้อย ผู้โจมตีที่มีความสามารถซึ่งปรับเปลี่ยนเคอร์เนลของคุณจะจัดเรียงเพื่อให้เคอร์เนลรายงานเนื้อหาที่คุณคาดหวัง/bootคุณจะสามารถบอกได้โดยดูจากระบบจากภายนอก