Начните прокручивать командную строку при заполнении до конкретной части

Если у Вас есть включенный вход аудита (auditd) необходимо смочь запросить файл audit.log для наблюдения, когда так и так выполнил команду X.

Пример

$ sudo ausearch -x /usr/bin/sudo | head -5
----
time->Sat Dec  7 21:15:15 2013
type=USER_AUTH msg=audit(1386468915.558:419): pid=2189 uid=1000 auid=1000 ses=1 subj=unconfined_u:unconfined_r:unconfined_t:s0-s0:c0.c1023 msg='op=PAM:authentication acct="saml" exe="/usr/bin/sudo" hostname=? addr=? terminal=/dev/pts/0 res=success'
----
time->Sat Dec  7 21:15:15 2013

Знайте, хотя это, необходимо будет разработать правила, которые будут контролировать или определенные исполняемые файлы или все каталоги файлов. Но auditd программное обеспечение, которое может сообщить об очень мелкозернистых деталях относительно того, какие приложения и объекты файла используются на данном поле Linux.

Ссылки

• Глава 32. Представление контрольного набора правила