Dê uma olhada no comando strace . Que irá exibir ou gravar as chamadas do sistema do processo. Por exemplo, isso registrará as chamadas open , read e write systems feitas pelo comando cat /etc/passwd no arquivo / tmp / tracelog
strace -o /tmp/tracelog -f -e trace=open,read,write cat /etc/passwd