"ro-mountolni a /usr-t"
És még pár egyebet is nyugodtan, mondjuk a /var, a /home és a /tmp kivételével mindent, ext2/3 esetén nyugodtan felrámolni az immutable flag-et is, a /var-t és a /tmp-t ráadásul noexec-re mountolni.
Mondjuk érdemes scriptet csinálni az rw-re mountolásra/immutable leszedésére ill. visszafelé, különben elég fáradságos dolog befrissíteni a rendszert :)...
sudo és NOPASSWD? all-ra semmiképp. Egy hétig hagyd így, aztán nézd meg, hogy mit is használsz vele, aztán szűkítsd le csak arra. Szerintem a shutdown, apt-get, tcpdump-on kívül nem sok minden lesz.