最初に

やるべきかどうかは置いといて、セキュリティ対策を調べたときにこんな設定があったってことで、学んだことを備忘録としてまとめます。
あとArch Linux 特有の内容薄いかも

ファイアウォールの導入

選択肢

iptablesって昔からあるようですが、その分(？)若干難解寄りな気がします。

sudo pacman -S ufw
sudo systemctl enable ufw
sudo systemctl start ufw

基本設定：

sudo ufw default deny incoming
sudo ufw default allow outgoing

特定ポートを開放（例：SSH）：

sudo ufw allow 22

状態確認：

sudo ufw status

Linuxでもマルウェアはゼロではありません。特にファイル共有やダウンロードが多い場合、スキャンは割と重要です。

ClamAV の導入と使い方

sudo pacman -S clamav
sudo freshclam  # ウイルス定義の更新

ファイル/ディレクトリをスキャン：

clamscan -r ~/Downloads

当たり前ですがrootでの常用操作は危険です。

sudo pacman -S sudo
sudo visudo

%wheel ALL=(ALL:ALL) ALL の行を有効にして、wheelグループのユーザーに sudo 権限を付与します。
そもそも環境構築したてのArch Linuxってsudoすら入ってないので、rootユーザーから一般ユーザー作ったら真っ先にやっとくべきですね。。。

AUR（Arch User Repository）は便利ですが、信頼性はピンキリです。
安全な利用のポイント

例：yay を使う場合

yay -S <パッケージ名>

途中で PKGBUILD を表示して「怪しいURLがないか」「不審なスクリプトがないか」を見るのが重要です。

システムの「異変」にいち早く気づくには、ログ確認とネットワーク監視が役立ちます。
journalctl

journalctl -b -p err

過去のログ確認：

journalctl --since "2 days ago"

systemd-analyze
起動時間分析：

systemd-analyze
systemd-analyze blame

ネットワーク監視

sudo pacman -S iftop net-tools
sudo iftop -i wlan0
netstat -tulnp

Arch Linux 環境では、セキュリティ通知の自動化とか特にされていないので自分で定期的に監視・スキャンを行うのが基本です。
ただ、SSEC や Snort, Suricata などの侵入検知システム（IDS）を導入すれば、多少自動化も可能になるかと。

Arch Linux は自由度が高い代わりに、OSインスコした直後はまじで何も入ってないので、セキュリティを学ぶには良い教材な気もします。