Часто просто смотрю активные сервисы через systemctl или service, потом проверяю права на файлы и пользователей через /etc/passwd. Еще полезно быстро пробежаться по сетевым настройкам и посмотреть, что висит на портах командой netstat или ss. Если что-то странное — уже копаю глубже. Для общей проверки сейчас часто запускаю Lynis, чтобы быстро найти некоторые косяки без лишнего головняка.