softbuilder@inbox.ru sanek842
А может RO просто ограничиться /usr ?
Или может вообще не стоит с этим парится..
В инете толкового что то тоже не могу найти

Так в /usr весь софт ставится как правило.

Вы можете теоретически
- смонтировать отдельно /var, /etc, /home, /tmp (ну или слинковать)
- остальное монтировать на чтение, скажем, на runlevel3, и на запись на runlevel5 (и ставить софт только при runlevel=5)

Во ФриБзд даже режим такой есть базовый.

Adekamerа может проше инкрементальный dump сделать ?

Дамп от хакера не поможет, а вот ro поможет. Но еще можно вообще кноппикс с сидюка грузить.

sanek842кстати бездисковый тоже интересный вариант, так то их много вариантов
Но я что то на devil-linux смотритю все. Никто с ним неработал случайно? Судя по тому что пишут, это легкий без иксов дистр., его можно как на CD так и на flash-ку записать ( незнаю что надежней ), но главное что там можно что то свое в образ примешать ( а knoppix я так понимаю что там есть то есть ) , а жесткий диск тоже можно приспособить например для логов каких нибудь.
А с другой стороны, я считаю что c hd грузиться то надежней будет чем с сидюка, а раз так то если в полноценном дистре по аналогии рутовую ФС сделать RO, так тоже самое и получим, даже лучше :) Короче хрен его знает. Самый простой вариант конечно это врубить полное журналирование на ext3 :)

В линукс журнале есть подробное описание, как кастомизовать кноппикс. Хотя конечно, это еще тот бегемотик.