Какой конфиг в данном случае мог бы быть?

Шифрование разделов, ввод пароля во время загрузки по ssh в initramfs, но как защитить сам grub и initramfs от модификации? или хотя бы как можно проконтролировать в момент подключения по ssh что модификация не была произведена? можно просканировать память? к примеру держать точную копию boot на своей машине и как то сравнивать их?

Я понимаю что в общем случае абсолютной защиты не существует, но почему бы не сделать эту операцию достаточно дорогой, чтобы без особой нужды ею не было интересно заниматься.
Так же я знаю, что в случае с bare metall серверами можно использовать цифровую подпись, загрузив ее в биос и подписывать grub и образы... но тут это не доступно.

А ведь еще есть возможность дамп памяти виртуалки снять и в нем копаться, что можно сделать тут? точно помню видел патчи к qemu для шифрования памяти, но тут то это недоступно, или нет? может какое-нибудь каскадирование виртуалок можно соорудить?