セキュアブートの無効化を制限する方法はありますか？

セキュアブートを有効にしており、ロードする前にカーネルモジュールに署名する必要があります。署名に使用されるキーは、キーが破損し、悪意のあるカーネルモジュールの署名に使用される可能性を減らすために外部ドライブにあります。ルートの通過を防ぐ方法はありますかmokutil --disable-validation？攻撃者はシムがロードされた後にセキュアブートチェックを無効にし、BIOSがそれを知らなくても署名されていないカーネルモジュールをロードする可能性があります。これが私が緩和したり、より難しくしたいことです。