Os comandos do audit ou do pacote inotify-tools podem rastrear o acesso a arquivos. Veja a minha resposta a uma pergunta muito semelhante: Unix - Historicamente, quem abriu um determinado arquivo . A maioria das respostas sobre essa pergunta responde à sua pergunta. Eu teria considerado isso um dupe, mas o OP parece ter tido um requisito diferente em mente ao fazer essa pergunta.
Update: Esses comandos podem não funcionar como esperado em / sys, pois é um pseudo-sistema de arquivos.