Если кому-то удается получить доступ root, они могут делать все, что захотят, включая удаление всех следов своей активности.
Извините, но единственное, что вы можете и должны сделать, это защитить пароли root / sudo.